CVE-2023-33768

[Description] Belkin Wemo 智能插头 WSP080 v1.2 在设备 固件更新过程中对固件的签名验证不正确， 允许攻击者通过特制的固件文件造成 拒绝服务 (DoS)。

[附加信息] 通过其移动应用更新 Wemo 智能插头固件时，我们发现如果智能插头固件二进制的固件签名无效，可能会导致 Wemo 智能插头停止响应 (变砖)。

我们利用 Wemo Android 应用 (com.belkin.wemoandroid) 将修改后的固件注入 Wemo 智能插头。 原始固件位于： http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. 我们通过在 Android Volley 库的 onResponse 方法中注入代码来更改 Wemo 应用中的此 URL。 我们将该 URL 更改为指向我们修改了一个字节的二进制文件。 具体来说，我们按如下方式修改该二进制文件： @00124C90 (固件文件末尾第 4 行) A3 E0 49 D5 更改为 A3 E0 50 D5。

通过拦截发往智能插头的网络流量，我们确认修改后的固件已发送到设备。 当智能插头收到修改后的固件后，插头将停止响应，并且无法被移动应用重置或检测到。

[漏洞类型] 拒绝服务

[产品供应商] Belkin

[受影响产品代码库] Wemo 智能插头 WSP080 - Wemo Android 应用 (com.belkin.wemoandroid) (1.2)

[受影响组件] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[攻击类型] 远程

[攻击向量] 只需在固件二进制文件传输到智能插头的过程中修改至少一个字节，即可执行此攻击。 这可以在固件下载到移动设备或 MQTT 服务器时，或在任何网络上传输的过程中完成。

步骤

1. 将 crafted_firmware_tz.bin.enc 文件托管在 Web 服务器上。
2. 将 brickDevice.py 中的原始固件 URL (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc) 替换为托管文件的 URL。
3. 将 Wemo 智能插头与 Wemo 应用配对。
4. 运行 brickDevice.py 脚本。
5. Wemo 智能插头将停止响应，并且无法被移动应用重置或检测到。

发布

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates