असुरक्षित चीजों का इंटरनेट

असुरक्षित चीजों के इंटरनेट विषय पर मेरे छोटे टर्म पेपर के परिणाम।

सारांश

यह पेपर एक सामान्य IoT उपकरण को हैक करके यह प्रदर्शित करता है कि इंटरनेट ऑफ थिंग्स कितना असुरक्षित है। TP-Link राउटर TL-WR902AC में कई कमज़ोरियाँ पाई गईं, जिनमें एक ऐसी भी शामिल है जो प्रमाणित हमलावर को सभी मौजूदा TP-Link राउटरों में रूट शेल लॉन्च करने की अनुमति देती है, जिससे वे हमलावर के पूर्ण नियंत्रण में आ जाते हैं। संबंधित CVE-2022-48194 को 8.8 रेटिंग दी गई। यह कमज़ोरी कैसे खोजी गई और इसका शोषण कैसे किया जा सकता है, यह इस पेपर का हिस्सा है। इन निष्कर्षों और अन्य उदाहरणों के परिणामस्वरूप, हम यह निष्कर्ष निकालते हैं कि इंटरनेट ऑफ थिंग्स के मजबूत विकास के कारण, हैक किए गए IoT उपकरणों का जोखिम और बढ़ता रहेगा यदि कोई मजबूत कानूनी नियमन नहीं होता।

प्रकटीकरण समयरेखा

मैंने दुर्भावनापूर्ण फर्मवेयर फ्लैश करके रिमोट कोड निष्पादन की खोज की सूचना निर्माता को दी, यहाँ रिपोर्टिंग की समयरेखा है।

TP-Link TL-WR902AC V3 0.9.1 और पुराने के फर्मवेयर अपडेट प्रक्रिया में एक समस्या प्रमाणित हमलावरों को नकली फर्मवेयर अपडेट अपलोड करके मनमाना कोड निष्पादित करने या सेवा से वंचित (DoS) करने की अनुमति देती है।

शोषण /exploits/malicious-firmware-update.py में रिपोर्ट किए गए विवरण के साथ पाया जा सकता है।

• नवंबर - मैंने अपना टर्म पेपर शुरू किया और इस प्रक्रिया में सुरक्षा कमज़ोरी पाई।

• 23 नवंबर, 2022 - ऑनलाइन फॉर्म के माध्यम से BSI को कमज़ोरी की सूचना दी। मैंने ऐसा करने का फैसला किया, क्योंकि TP-Link ने अतीत में रिपोर्ट की गई कमज़ोरियों को ठीक नहीं किया है।

• 01 दिसंबर, 2022 - BSI मुझसे और जानकारी चाहता था, यही कारण है कि इस बिंदु पर पहली बार निर्माता को कमज़ोरी की सूचना दी गई। (मैंने शुरू में सोचा था कि बस यह रिपोर्ट करना पर्याप्त होगा कि फर्मवेयर हस्ताक्षरित नहीं है और आप इसे आसानी से बदल सकते हैं।)

• 05 दिसंबर, 2022 - TP Link ने एक अंग्रेजी संस्करण का अनुरोध किया, जिसमें मैंने एक शोषण स्क्रिप्ट भी जोड़ी।

• 26 दिसंबर, 2022 - मैंने BSI से पूछा कि वर्तमान स्थिति क्या है और एक दिन बाद निम्नलिखित जानकारी मिली:

  • 23 दिसंबर, 2022 - BSI ने TP-Link से पूछा था कि वर्तमान स्थिति क्या है। उन्होंने जवाब दिया कि वे अभी तक कमज़ोरी की पुष्टि नहीं कर पाए हैं और कंपनी से अंतिम प्रतिक्रिया जनवरी की शुरुआत में आने की उम्मीद है। चूंकि मैं एक CVE चाहता था, मुझे सलाह दी गई कि मैं इसे स्वयं रिपोर्ट कर सकता हूँ। यही कारण है कि मुझे पता चला कि यह कमज़ोरी कुछ दिन पहले ही प्रकाशित हो चुकी थी:
  • 20 दिसंबर, 2022 - कई CVEs सामने आए हैं जहां वही सुरक्षा कमज़ोरी पाई गई, बस अलग-अलग मॉडलों पर।

• 29 दिसंबर, 2022 - चूंकि कमज़ोरी पहले से ही सार्वजनिक ज्ञान है, मैं अपना शोध भी प्रकाशित कर रहा हूँ।

• 30 दिसंबर, 2022 - CVE-2022-48194 को MITRE द्वारा रिपोर्ट की गई कमज़ोरी के लिए निर्धारित किया गया।

• 9 जनवरी, 2023 - CVE को 8.8 का स्कोर दिया गया और TP-Link को निर्माता के रूप में निर्दिष्ट किया गया।