robertguetzkow/cve-2021-37740PoC for DoS vulnerability CVE-2021-37740 in firmware v3.0.3 of SCN-IP100.03 and SCN-IP000.03 by MDT. The bug has been fixed in firmware v3.0.4.
CVE-2021-37740 est une vulnérabilité de déni de service (DoS) qui affecte le firmware v3.0.3 du routeur sécurisé KNXnet/IP SCN-IP100.03 et de l'interface SCN-IP000.03 de MDT. Une trame KNXnet/IP Secure spécialement conçue rend l'appareil insensible aux requêtes ultérieures, nécessitant un redémarrage pour restaurer le fonctionnement normal. Ce dépôt contient une preuve de concept démontrant comment le bug peut être déclenché, développée à l'origine pour la divulgation coordonnée des vulnérabilités.
Un adversaire peut exploiter la vulnérabilité en établissant une connexion TCP avec l'appareil cible, puis en envoyant une trame SESSION_REQUEST avec un champ de longueur totale modifié contenant une valeur de 0x0259 ou plus. Les appareils affectés par la vulnérabilité ne répondront plus aux trames KNXnet/IP Secure dans aucune connexion. La SESSION_REQUEST est la première trame envoyée lors de la négociation du protocole unicast KNXnet/IP Secure, tel que spécifié par la norme ISO 22510:2019. Elle est censée avoir une longueur fixe de 46 octets. La norme exige que les trames avec une longueur divergente soient rejetées.
Python 3 est requis pour les scripts fournis dans ce dépôt. healthcheck.py sert à tester si l'appareil est toujours réactif. Il établit une connexion TCP avec l'appareil cible et tente de démarrer la négociation du protocole unicast KNXnet/IP Secure. Si l'appareil envoie une réponse, elle sera affichée en hexadécimal sur stdout. poc.py tente de déclencher la vulnérabilité DoS en envoyant la trame SESSION_REQUEST invalide. Si un appareil est vulnérable, les exécutions ultérieures de healthcheck.py ne produiront aucune réponse, à moins que l'appareil cible ne soit redémarré.
Les scripts peuvent être exécutés avec les commandes suivantes, où <insert IP address> doit être remplacé par l'adresse IP réelle (par exemple 192.168.2.137).
python3 healthcheck.py -t <insert IP address>
python3 poc.py -t <insert IP address>
Sous Windows, l'alias de Python peut devoir être changé de python3 à python. Si l'appareil cible implémente le point de contrôle sur un port autre que 3671, le port dans le script doit être ajusté en conséquence.
La vulnérabilité a été corrigée dans le firmware v3.0.4, comme documenté dans le journal des modifications du firmware MDT. L'installation du firmware le plus récent corrige le problème. Les instructions pour la mise à jour du firmware et le fichier .hex sont disponibles sur le site web de MDT.
La preuve de concept est distribuée sous la licence MIT.
Téléchargement :
Modifications :
