CVE-2022-24611

Подробности об атаке Z-Wave S0-No-More. Полный анализ и отчет о том, как это работает и как воспроизвести результаты, см. в прилагаемом PDF-файле.

Краткое описание:

Атака типа «Отказ в обслуживании» (DoS) против устройств S0 и S2 (протестировано на линейке продуктов Z-Wave ZW5xx), в частности, на устройствах Amazon Ring Gen. 1 с поддержкой Z-Wave. Злоумышленник может использовать запрос S0 NonceGet для непрерывной отправки минимального количества запросов nonce (1 раз в 2 секунды) на шлюз Z-Wave, эффективно блокируя выдачу новых nonce другим устройствам на время атаки. Это связано с тем, что спецификация Z-Wave требует от участника ожидания ответа от устройства, запрашивающего nonce, в течение от 3 до 20 секунд, а также с тем, что злоумышленник может подделать любое устройство в сети. Эта атака основывается на подделываемом NodeID устройства, поэтому требуется устройство, которое было успешно включено в сеть, но в момент атаки находится в автономном режиме. Сюда входят устройства, которые не были правильно исключены с помощью приложения смартфона, например, умная розетка. Эта атака может использоваться для воздействия на конкретные сети, не затрагивая другие, и требует минимального количества пакетов по сравнению с атаками глушения для блокировки контроллера/устройства.

Тип уязвимости:

DoS

Производитель продукта:

Silicon Labs (производитель SoC Z-Wave ZW5xx, используемого в конкретном протестированном продукте)

Конкретный протестированный продукт:

(Amazon) Ring Alarm Security Kit, 5 piece

Затронутая кодовая база продукта:

Неизвестно, затрагивает сети Z-Wave S0 и S2 спецификации Gen. 5; S2 только если шлюз разрешает соединения S0, особенно S0 NonceGet.

Тип атаки:

Локальная атака, злоумышленнику необходимо находиться в зоне действия сети Z-Wave жертвы.

Воздействие:

Полный отказ в обслуживании целевой сети, делающий её непригодной для использования на время атаки. После завершения атаки сеть возобновляет работу без заметных следов. По-видимому, нет ограничений по длительности атаки. Для начала процесса блокировки требуется минимальное количество пакетов. Контроллер остаётся заблокированным до тех пор, пока все запросы в его входящем буфере не будут тайм-аутны, даже если злоумышленник больше не отправляет пакеты.