CVE-2022-24611

Dettagli riguardanti l'attacco Z-Wave S0-No-More. Per un'analisi completa e un report su come funziona e come riprodurre i risultati, vedere il file PDF allegato.

Breve descrizione:

Attacco Denial of Service contro dispositivi S0 e S2 (testato con la linea di prodotti Z-Wave ZW5xx), in particolare dispositivi Amazon Ring Gen. 1 abilitati Z-Wave. Un attaccante può utilizzare la richiesta S0 NonceGet per inviare continuamente una quantità minima di richieste nonce (1 ogni 2 secondi) al gateway Z-Wave, bloccandolo efficacemente dall'emettere nuovi nonce ad altri dispositivi mentre l'attacco è in esecuzione. Ciò è dovuto alla specifica Z-Wave che richiede a un partecipante di attendere almeno 3 e fino a 20 secondi per la risposta del dispositivo che richiede il nonce e al fatto che l'attaccante può falsificare qualsiasi dispositivo all'interno della rete. Questo attacco si basa su un NodeID del dispositivo falsificabile e quindi su un dispositivo che è stato incluso con successo ma è offline durante l'attacco. Ciò include dispositivi che non sono stati correttamente esclusi utilizzando l'app dello smartphone, ad esempio una presa intelligente. Questo attacco può essere utilizzato per prendere di mira reti specifiche lasciando intatte le altre e richiede solo una quantità minima di pacchetti rispetto agli attacchi di jamming per bloccare un controller/dispositivo.

Tipo di vulnerabilità:

DoS

Produttore del prodotto:

Silicon Labs (produttore del SoC Z-Wave ZW5xx utilizzato nel prodotto specifico testato)

Prodotto specifico testato:

(Amazon) Ring Alarm Security Kit, 5 pezzi

Codebase del prodotto affetto:

Sconosciuto, colpisce sia le reti Z-Wave S0 che S2 della Gen. 5 della specifica Z-Wave; S2 solo se le connessioni S0, in particolare S0 NonceGet, sono consentite dal gateway.

Tipo di attacco:

Attacco locale, l'attaccante deve essere nel raggio della rete Z-Wave della vittima.

Impatto:

Denial of Service completo contro la rete target, rendendola inutilizzabile per la durata dell'attacco. La rete riprende il funzionamento dopo l'attacco senza tracce evidenti. Non sembra esserci alcuna limitazione alla durata dell'attacco. L'attacco necessita solo di una quantità minima di pacchetti per avviare il processo di blocco. Il controller rimane bloccato fino a quando tutte le richieste nel suo buffer in ingresso non sono scadute, anche se l'attaccante non invia più.