otsmr/internet-of-vulnerable-thingsI risultati del mio piccolo elaborato sul tema dell'Internet of Vulnerable Things e dell'exploit per CVE-2022-48194.
I risultati del mio piccolo elaborato sul tema dell'Internet delle Cose Vulnerabili.
Abstract
Questo documento fornisce una dimostrazione pratica di quanto sia insicura l'Internet delle Cose, hackingando un tipico dispositivo IoT. Sono state identificate diverse vulnerabilità nel router TP-Link TL-WR902AC, inclusa una che consente a un attaccante autenticato di avviare una shell di root in tutti gli attuali router TP-Link, portandoli sotto il pieno controllo dell'attaccante. La relativa CVE-2022-48194 è stata valutata 8.8. Come la vulnerabilità sia stata scoperta e come possa essere sfruttata fa parte di questo documento. Come risultato di questi risultati e di altri esempi, concludiamo che, a causa della forte crescita dell'Internet delle Cose, il rischio di dispositivi IoT compromessi continuerà ad aumentare se non ci sarà una regolamentazione legale più forte.
Ho segnalato la remote code execution trovata, tramite il flashing di firmware malizioso, al produttore; ecco la cronologia della segnalazione.
Un problema nel processo di aggiornamento del firmware di TP-Link TL-WR902AC V3 0.9.1 e versioni precedenti consente ad attaccanti autenticati di eseguire codice arbitrario o causare una Denial of Service (DoS) caricando un aggiornamento del firmware manipolato.
L'exploit si trova in /exploits/malicious-firmware-update.py insieme alla descrizione segnalata.
Novembre - Ho iniziato il mio elaborato e ho trovato la vulnerabilità di sicurezza in questo processo.
23 Nov 2022 - Vulnerabilità segnalata al BSI tramite modulo online. Ho deciso di farlo perché TP-Link non ha corretto le vulnerabilità segnalate in passato.
01 Dic 2022 - Il BSI voleva ulteriori informazioni da me, motivo per cui la vulnerabilità è stata segnalata per la prima volta al produttore in quel momento. (Inizialmente pensavo che bastasse segnalare semplicemente che il firmware non è firmato e che può essere facilmente manipolato.)
05 Dic 2022 - TP-Link richiede una versione in inglese alla quale ho aggiunto anche uno script di exploit.
26 Dic 2022 - Ho chiesto al BSI qual fosse lo stato attuale e ho ricevuto le seguenti informazioni un giorno dopo:
23 Dic 2022 - Il BSI ha chiesto a TP-Link qual fosse lo stato attuale. Hanno risposto di non aver ancora potuto verificare la vulnerabilità e che una risposta definitiva dell'azienda è attesa all'inizio di gennaio. Poiché volevo una CVE, mi è stato consigliato di poterla segnalare io stesso. È così che ho scoperto che questa vulnerabilità era già stata pubblicata pochi giorni prima:20 Dic 2022 - Sono emerse diverse CVE in cui è stata trovata la stessa vulnerabilità di sicurezza, solo su modelli diversi.29 Dic 2022 - Poiché la vulnerabilità è già di pubblico dominio, pubblico anche la mia ricerca.
30 Dic 2022 - CVE-2022-48194 è stata assegnata da MITRE per la vulnerabilità segnalata.
9 Gen 2023 - La CVE ha ricevuto un punteggio di 8.8 e TP-Link è stato indicato come produttore.