Your Home is My Castle. Angriff auf die Updates eines Heimrouters

Transkript

1 auf die Updates eines Heimrouters Cryptoparty des Open Source Arbeitskreises 18. Juni 2015, Aachen

2 RedTeam Pentesting, Daten & Fakten Gegründet Penetrationstester Weltweite Durchführung von Penetrationstests Spezialisierung ausschließlich auf Penetrationstests

3 Wir stellen ein!

4 Reguläre RedTeam Pentesting von Firmware-Updates

5 Reguläre RedTeam Pentesting von Firmware-Updates

6 Reguläre RedTeam Pentesting von Firmware-Updates

7 Reguläre RedTeam Pentesting von Firmware-Updates

8 Manipulierte RedTeam Pentesting von Firmware-Updates

9 Tar-Archive als Container $ tar --list --file FRITZ.Box image./var/./var/install./var/chksum./var/info.txt./var/tmp/./var/tmp/filesystem.image./var/tmp/kernel.image./var/regelex./var/signature

10 Tar-Archive als Container $ tar --list --file FRITZ.Box image./var/./var/install Shell-Skript wird nach./var/chksum erfolgreicher Verifizierung./var/info.txt aufgerufen./var/tmp/./var/tmp/filesystem.image./var/tmp/kernel.image./var/regelex./var/signature Signatur zur Verifizierung des Firmware-Images

11 Tar-Archive als Container $ tar --list --file FRITZ.Box image./var/./var/install H1 H2./var/chksum D2 D2./var/info.txt H3 D3./var/tmp/./var/tmp/filesystem.image./var/tmp/kernel.image D8 D8./var/regelex H9 D9./var/signature

12 Erstellen der Signatur Nachricht A H1 H2 D2 D2 H3 D3 D8 D8 H9 D9 Signatur (H9, D9) kann nicht von sich selbst abhängen

13 Erstellen der Signatur Nachricht A H1 H2 D2 D2 H3 D3 D8 D8 H9 D9 Nachricht B H1 D2 H3 H2 D2 D3 D8 D8 Signatur (H9, D9) kann nicht von sich selbst abhängen 1024 Nullbytes als Platzhalter (rot)

14 Erstellen der Signatur Nachricht A H1 H2 D2 D2 H3 D3 D8 D8 H9 D9 Nachricht B H1 D2 H3 H2 D2 D3 D8 D8 Signatur (H9, D9) kann nicht von sich selbst abhängen 1024 Nullbytes als Platzhalter (rot) AVM signiert Nachricht B und ersetzt den Platzhalter durch die Signatur

15 Überprüfen der Signatur Nachricht A H1 H2 D2 D2 H3 D3 D8 D8 H9 D9 Suche enthaltene Signatur Ersetze vorübergehend durch Nullbytes Prüfe Signatur

16 Überprüfen der Signatur Nachricht A H1 H2 D2 D2 H3 D3 D8 D8 H9 D9 Suche enthaltene Signatur Ersetze vorübergehend durch Nullbytes Prüfe Signatur if (strstr(filename, "/var/signature")) { // Signatur an Position x gefunden // Ersetze Hx/Dx durch Nullbytes }

17 Idee Überprüfung Zusammenfassung Neue Datei einfügen Können wir eine weitere Datei in das Tar-Archiv einfügen, ohne die Signatur zu beeinflussen?

18 Idee Überprüfung Zusammenfassung Neue Datei einfügen Nachricht A (a) H1 H2 D2 D2 H3 D3 D8 D8 (b) H9 D9 (c) (d) Welche Position würde ein Angreifer wählen?

19 Idee Überprüfung Zusammenfassung Neue Datei einfügen Nachricht A (a) H1 H2 D2 D2 H3 D3 D8 D8 (b) H9 D9 (c) (d) Welche Position würde ein Angreifer wählen? Signatur Tar (a) X ok (b) X ok (c) ok ok (d) ok X Möglichkeit (c) vielversprechend

20 Idee Überprüfung Zusammenfassung Name der neuen Datei if (strstr(filename, "/var/signature")) /var/signature (e)./var/signature./tmp/var/signature/example (f)./var/signature/.././var/install (g)./var/install/.././var/signature Alle Beispiele werden wie Signaturdateien behandelt Welcher Dateiname hilft einem Angreifer?

21 Idee Überprüfung Zusammenfassung Name der neuen Datei if (strstr(filename, "/var/signature")) /var/signature (e)./var/signature./tmp/var/signature/example (f)./var/signature/.././var/install (g)./var/install/.././var/signature Alle Beispiele werden wie Signaturdateien behandelt Welcher Dateiname hilft einem Angreifer?

22 Idee Überprüfung Zusammenfassung Verhalten von Tar $ tar xf FRITZ.Box_ image 2>/dev/null./var/./var/install [...]./var/tmp/kernel.image./var/regelex./var/signature./var/signature/.././var/install Zielpfad der Datei?

23 Idee Überprüfung Zusammenfassung Verhalten von Tar $ tar xf FRITZ.Box_ image./var/./var/install [...]./var/tmp/kernel.image./var/regelex./var/signature tar: Removing leading /var/signature/../ from member names./var/signature/.././var/install./var/install wird überschrieben

24 Idee Überprüfung Zusammenfassung Zusammenfassung Beliebige Befehle auf der FRITZ!Box ausführbar Persistenter Zugriff auf Internetverbindung und Heimnetzwerk (Network Attached Storage, VoIP-Telefone, Drucker,. ) Ausnutzbar für Man-in-the-Middle-Angreifer (Netzbetreiber, Geheimdienste,. ) Von AVM korrigiert seit Mitte 2014

25 Idee Überprüfung Zusammenfassung Zusammenfassung Beliebige Befehle auf der FRITZ!Box ausführbar Persistenter Zugriff auf Internetverbindung und Heimnetzwerk (Network Attached Storage, VoIP-Telefone, Drucker,. ) Ausnutzbar für Man-in-the-Middle-Angreifer (Netzbetreiber, Geheimdienste,. ) Von AVM korrigiert seit Mitte 2014 Proof-of-Concept und Advisory: