CVE-2023-33768

[Описание] Некорректная проверка подписи прошивки во время процесса обновления прошивки устройства Belkin Wemo Smart Plug WSP080 v1.2 позволяет злоумышленникам вызвать отказ в обслуживании (DoS) с помощью специально созданного файла прошивки.

[Дополнительная информация] При обновлении прошивки умной розетки Wemo через мобильное приложение мы обнаружили, что если подпись прошивки бинарного файла прошивки розетки недействительна, это может привести к тому, что розетка Wemo перестанет отвечать (станет «кирпичом»).

Мы используем Wemo Android App (com.belkin.wemoandroid) для внедрения модифицированной прошивки в умную розетку Wemo. Оригинальная прошивка находится по адресу: http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. Мы изменяем этот URL в приложении Wemo, внедряя код в метод onResponse библиотеки Android Volley. Мы изменяем URL, указывающий на бинарный файл, в котором мы изменили один байт. В частности, мы модифицируем бинарный файл следующим образом: @00124C90 (4-я строка в конце файла прошивки) A3 E0 49 D5 изменено на A3 E0 50 D5.

Мы подтверждаем, что модифицированная прошивка отправляется на устройство, перехватывая сетевой трафик к розетке. После получения модифицированной прошивки розетка перестает отвечать и не может быть сброшена или обнаружена мобильным приложением.

[Тип уязвимости] Отказ в обслуживании

[Производитель продукта] Belkin

[База кода затронутого продукта] Умная розетка Wemo WSP080 - Wemo Android App (com.belkin.wemoandroid) (1.2)

[Затронутый компонент] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[Тип атаки] Удаленная

[Векторы атаки] Эта атака может быть выполнена путем изменения хотя бы одного байта бинарного файла прошивки в любой момент его доставки к розетке. Это можно сделать, когда прошивка загружается на мобильное устройство или MQTT-сервер, или когда она находится в переходе по любой из сетей.

Шаги

1. Разместите файл crafted_firmware_tz.bin.enc на веб-сервере.
2. Замените исходный URL прошивки (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc) в файле brickDevice.py на URL размещенного файла.
3. Сопрягите умную розетку Wemo с приложением Wemo.
4. Запустите скрипт brickDevice.py.
5. Умная розетка Wemo перестанет отвечать и не сможет быть сброшена или обнаружена мобильным приложением.

Публикация

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates