CVE-2023-33768

[説明] Belkin Wemo Smart Plug WSP080 v1.2 のデバイス ファームウェア更新プロセス中のファームウェアの署名検証の不備により、 攻撃者は細工されたファームウェアファイルを介して サービス拒否 (DoS) を引き起こすことができます。

[追加情報] Wemo スマートプラグをモバイルアプリ経由でファームウェア更新する際、スマートプラグのファームウェアバイナリのファームウェア署名が無効な場合、Wemo スマートプラグが応答しなくなる（文鎮化する）可能性があることを発見しました。

Wemo Android アプリ (com.belkin.wemoandroid) を利用して、改変したファームウェアを Wemo スマートプラグに注入します。 元のファームウェアは次の場所にあります。 http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. 私たちは Android Volley ライブラリの onResponse メソッドにコードを注入することで、Wemo アプリ内のこの URL を変更します。 私たちは、1バイトを改変したバイナリを指すように URL を変更します。 具体的には、バイナリを次のように変更します。 @00124C90 (ファームウェアファイル末尾の4行目) A3 E0 49 D5 を A3 E0 50 D5 に変更。

スマートプラグへのネットワークトラフィックを傍受することで、改変されたファームウェアがデバイスに送信されることを確認しました。 改変されたファームウェアがスマートプラグに受信されると、プラグは応答しなくなり、モバイルアプリケーションでリセットも検出もできなくなります。

[脆弱性タイプ] サービス拒否 (DoS)

[製品ベンダー] Belkin

[影響を受ける製品コードベース] Wemo Smart Plug WSP080 - Wemo Android App (com.belkin.wemoandroid) (1.2)

[影響を受けるコンポーネント] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[攻撃タイプ] リモート

[攻撃ベクトル] この攻撃は、スマートプラグへのファームウェアバイナリの配信中に、ファームウェアバイナリの少なくとも1バイトを変更するだけで実行できます。 これは、ファームウェアがモバイルデバイスまたはMQTTサーバーにダウンロードされたとき、またはいずれかのネットワーク上を転送中であるときに行うことができます。

手順

1. crafted_firmware_tz.bin.enc ファイルをウェブサーバーにホストします。
2. brickDevice.py 内の元のファームウェア URL (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc) を、ホストしたファイルの URL に置き換えます。
3. Wemo スマートプラグを Wemo アプリとペアリングします。
4. brickDevice.py スクリプトを実行します。
5. Wemo スマートプラグは応答しなくなり、モバイルアプリケーションでリセットも検出もできなくなります。

公開情報

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates