CVE-2023-33768

[Описание] Неверная проверка подписи прошивки во время процесса обновления прошивки устройства Belkin Wemo Smart Plug WSP080 v1.2 позволяет злоумышленникам вызвать отказ в обслуживании (DoS) с помощью специально созданного файла прошивки.

[Дополнительная информация] При обновлении прошивки умной розетки Wemo через её мобильное приложение мы обнаружили, что если подпись бинарного файла прошивки умной розетки недействительна, это может привести к тому, что умная розетка Wemo перестанет отвечать (превратится в «кирпич»).

Мы используем приложение Wemo Android App (com.belkin.wemoandroid) для внедрения модифицированной прошивки в умную розетку Wemo. Оригинальная прошивка расположена по адресу: http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. Мы изменяем этот URL в приложении Wemo, внедряя код в метод onResponse библиотеки Android Volley. Мы изменяем URL, указывающий на бинарный файл, в котором мы изменили один байт. В частности, мы изменяем бинарный файл следующим образом: @00124C90 (4-я строка в конце файла прошивки) A3 E0 49 D5 изменено на A3 E0 50 D5.

Мы подтверждаем, что модифицированная прошивка отправляется на устройство, перехватывая сетевой трафик к умной розетке. После получения модифицированной прошивки умной розеткой розетка перестаёт отвечать, и её нельзя сбросить или обнаружить с помощью мобильного приложения.

[Тип уязвимости] Отказ в обслуживании

[Производитель продукта] Belkin

[Затронутая кодовая база продукта] Wemo Smart Plug WSP080 - приложение Wemo Android (com.belkin.wemoandroid) (1.2)

[Затронутый компонент] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[Тип атаки] Удалённая

[Векторы атаки] Эту атаку можно выполнить, просто изменив по крайней мере один байт бинарного файла прошивки в любой момент во время доставки бинарного файла прошивки к умной розетке. Это можно сделать, когда прошивка загружается на мобильное устройство или на MQTT-сервер, или когда она находится в процессе передачи по любой из сетей.

Шаги

1. Разместите файл crafted_firmware_tz.bin.enc на веб-сервере.
2. Замените исходный URL прошивки (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc) в файле brickDevice.py на URL размещённого файла.
3. Сопрягите умную розетку Wemo с приложением Wemo.
4. Запустите скрипт brickDevice.py.
5. Умная розетка Wemo перестанет отвечать, и её нельзя будет сбросить или обнаружить с помощью мобильного приложения.

Публикация

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates