CVE-2023-33768

[설명] Belkin Wemo Smart Plug WSP080 v1.2의 장치 펌웨어 업데이트 과정에서 펌웨어 서명 검증이 올바르게 이루어지지 않아, 공격자가 조작된 펌웨어 파일을 통해 서비스 거부(DoS)를 유발할 수 있습니다.

[추가 정보] 모바일 애플리케이션을 통해 Wemo 스마트 플러그의 펌웨어를 업데이트할 때, 스마트 플러그 펌웨어 바이너리의 펌웨어 서명이 유효하지 않으면 Wemo 스마트 플러그가 응답을 멈추고(벽돌 상태가 됨) 동작하지 않게 되는 것을 발견했습니다.

Wemo Android 앱(com.belkin.wemoandroid)을 악용하여 수정된 펌웨어를 Wemo 스마트 플러그에 주입합니다. 원본 펌웨어는 다음 위치에 있습니다: http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. Android Volley 라이브러리의 onResponse 메서드에 코드를 주입하여 Wemo 앱의 이 URL을 변경합니다. 변경된 URL은 한 바이트를 수정한 바이너리를 가리킵니다. 구체적으로 바이너리를 다음과 같이 수정합니다: @00124C90 (펌웨어 파일 끝에서 4번째 줄) A3 E0 49 D5 를 A3 E0 50 D5 로 변경.

수정된 펌웨어가 장치로 전송되는 것을 스마트 플러그로의 네트워크 트래픽을 가로채 확인합니다. 수정된 펌웨어가 스마트 플러그에 수신된 후 플러그는 응답을 멈추고, 재설정하거나 모바일 애플리케이션에서 감지할 수 없게 됩니다.

[취약점 유형] 서비스 거부

[제조사] Belkin

[영향 받는 제품 코드 베이스] Wemo Smart Plug WSP080 - Wemo Android App (com.belkin.wemoandroid) (1.2)

[영향 받는 구성 요소] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[공격 유형] 원격

[공격 경로] 이 공격은 스마트 플러그로 펌웨어 바이너리가 전달되는 과정 중 어느 시점에서든 펌웨어 바이너리의 최소 한 바이트만 수정하면 수행할 수 있습니다. 펌웨어가 모바일 장치나 MQTT 서버로 다운로드되거나 네트워크 상에서 전송 중일 때 수행 가능합니다.

Steps

1. crafted_firmware_tz.bin.enc 파일을 웹 서버에 호스팅합니다.
2. brickDevice.py 파일의 원본 펌웨어 URL (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc)을 호스팅된 파일의 URL로 교체합니다.
3. Wemo 스마트 플러그를 Wemo 앱과 페어링합니다.
4. brickDevice.py 스크립트를 실행합니다.
5. Wemo 스마트 플러그가 응답을 멈추고, 재설정하거나 모바일 애플리케이션에서 감지할 수 없게 됩니다.

Publication

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates