TP-LinkSR20スマートホームルーターにゼロデイ欠陥が含まれている

Googleのセキュリティ研究者であるMatthewGarrettが、TP-LinkSR20スマートホームルーターにゼロデイ脆弱性を発見しました. 会社が私的開示に応じなかった後, 研究者は欠陥を公開することにしました.

TP-LinkSR20の脆弱性技術概要

この脆弱性は、ゼロデイ任意のコード実行のバグです。. TP-LinkSR20ルーターはデュアルバンドです 2.4 GHz / 5 スマートホームおよびIoTデバイスの制御に適したGHz製品. また、ZigBeeおよびZ-Waveプロトコルを実行するデバイスもサポートします.

どうやら, 研究者は、セキュリティ上の欠陥をTP-Linkに個人的に報告しました。 90 数日前ですが、彼は応答を受け取りませんでした. 他の方法で会社に連絡する試みも失敗したと見なされました:

私はこれを12月にセキュリティ開示フォームを介してTP-Linkに報告しました, によって困難にされたプロセス “詳細な説明” フィールドはに制限されています 500 文字. このページから、3営業日以内に返信があるとの連絡がありました。 – 数週間後, 応答なし, 私は彼らに連絡を求めてツイートしましたが、何も返事がありませんでした. 他の誰かがtddpの脆弱性を報告しようとしたところ、同様の結果が得られました, だからここにいる.

脆弱性自体については, この問題は、これらのルーターが頻繁に実行するプロセスに起因します. このプロセスは「tddp」として知られています, またはTP-Linkデバイスデバッグプロトコル. プロセスはルートレベルで実行され、2種類のコマンドを開始できます. 最初のものは認証を必要としません, そして2番目のものはそれを必要とします.

関連している: CVE-2018-15702: TP-LINKTL-WR841Nルーターの脆弱性が見つかりました

この脆弱性により、一部のタイプ1コマンドが公開されます. それらの中の一つ, コマンド0x1f, リクエスト0x01, 構成の検証に役立ちます, ガレスによって説明されたように.

tddpをGhidraにダンプすると、recvfromを呼び出す関数を簡単に見つけることができます。(), ネットワークソケットから情報をコピーする呼び出し. パケットの最初のバイトを調べ、これを使用して使用中のプロトコルを判別します, プロトコルのバージョンに応じて、パケットを別のディスパッチャに渡します. バージョンの場合 1, ディスパッチャは、パケットの2番目のバイトを確認し、その値に応じて異なる関数を呼び出します。. 0x31はCMD_FTEST_CONFIGです, そして、これは物事がとても楽しくなる場所です, 研究者は書いた.

次に起こることは、この関数がセミコロンで区切られた2つの文字列を含むペイロードのパケットを解析することです。. 最初の文字列はファイル名です, 2つ目はconfigfileです. 次に、tddp_execCmdを呼び出します(“cd / tmp; tftp -gr％s％s &”,luaFile,remote_address) バックグラウンドでtftpコマンドを実行します.

これにより、コマンドを送信したマシンに接続し直し、送信したファイル名に対応するtftp経由でファイルをダウンロードしようとします。. メインのtddpプロセスは最大で待機します 4 ファイルが表示されるまでの秒数 – 一度それが, 以前に初期化したLuaインタープリターにファイルをロードします, 関数config_testを呼び出します() 構成ファイルの名前とリモートアドレスを引数として使用.

config_test以降() リモートマシンからダウンロードしたファイルによって管理されます, インタプリタでの任意のコードの実行が許可されます, これには、ホスト上でコマンドを実行するos.executeメソッドが含まれます. tddpがrootとして実行されているため, ルートとして任意のコマンドを実行します, ガレスは結論を出しました.

TP-Link SR20スマートホームルーターの脆弱性については、概念実証コードも利用できます。.