CVE-2020-28148

WIFIへの攻撃によく使われる手法で、信锐（深信服子会社）のWIFI製品に限らず、筆者の複数回の攻防実戦で、この脆弱性の悪用方法が複数のACベンダーを回避できることが判明しました。

本記事は脆弱性の悪用方法を開示するためのものであり、脆弱性を不正な攻撃に使用しないでください。他の者の行為は筆者とは一切関係ありません。

English：https://github.com/fengchenzxc/CVE-2020-28148/blob/main/CVE-2020-28148(English).md

信锐WIFI身份認証バイパス脆弱性0day

概要

本シナリオは、信锐（深信服全額出資子会社）AP3600およびAC6600、ポータル認証システムとAC管理WEBシステムはすべて最新版です。その他の製品は未テストです。

WIFIの配置は図の通りで、officeから始まるのは業務用WIFIです。そのうち

• xxxxは内部従業員用WIFIで、従業員はWPA/WPA2パスワード認証後、ログインページでポータル認証を行う必要があります。
• guestは来客用オープンWIFIで、来客は氏名と電話番号を入力してQRコードを生成し、内部従業員がQRコードをスキャンして初めてWIFIを使用できます。
• partnerは協力業者用WIFIで、WPAパスワード入力後、二次認証が必要です。

脆弱性詳細：

WIFI「office-xxxx」にパスワードで接続。現在のIPは10.3.163.121、MACアドレスは3C-22-FB-07-A4-CA

この時、いずれかのページにアクセスすると、内部従業員認証画面にリダイレクトされます。

現在のネットワークセグメントをスキャンすると、以下のホストが検出されました。

自身のMACアドレスを変更します。sudo ifconfig en0 ether A4:C3:F0:C3:9C:B8

現在のアドレスを確認すると、IPが自動的に10.3.163.210に割り当てられています。

この時、WIFI認証画面にアクセスすると、ポータル認証がバイパスされ、ログイン成功、内部ネットワークに入ることができました。

さらに深刻なのは、接続するWIFIがoffice-guestの来客用オープンWIFIである場合、パスワード不要で接続でき、攻撃者はネットワークセグメントをスキャンしてMACアドレスを変更することで認証をバイパスできます。

MACアドレスを変更します。

sudo ifconfig en0 ether 38:BA:F8:32:5C:F8