Lỗ hổng bảo mật Buffer overflow được kích hoạt bởi yêu cầu kết nối từ người khai thác gửi lên thiết bị qua giao diện web như sau:

Nội dung của actiontype sẽ được sao chép vào vùng nhớ 0x356e4 bởi strcpy:

Dữ liệu được ghi đè sang các vùng nhớ khác, ta có thể thấy vùng nhớ 0x3577c đã bị ghi đè bởi chuỗi `cat /etc/passwd > /tmp/pwn`(vùng khoanh đỏ hình bên dưới).

Có thể nhận thấy hàm diag_check thực hiện lệnh system() với tham số truyền vào chính là ô nhớ có địa chỉ 0x3577c trong mã poseudo-code của hàm diag_check dưới đây. 

Với việc ghi đè vùng nhớ 0x3577c, có thể thực hiện lệnh qua lời gọi hàm hệ thống bởi modem và thực hiện lệnh trên modem với quyền cao nhất. Nhưng do chương trình kiểm tra giá trị của biến wan_state, nên cần phải thực hiện một số kỹ thuật để có thể khai thác và thực hiện thành công lệnh trên modem.

Thực thi lệnh từ xa qua khai thác lỗ hổng bảo mật Buffer overflow 

Với lỗ hổng buffer overflow ở trên, vùng nhớ 0x3755c có thể ghi đè thành câu lệnh “cat /etc/passwd > /tmp/pwn” với request sau:

Nhưng với request trên thì giá trị của wan_state (nằm tại ô nhớ 0x35768) cũng bị ghi đè thành “AAAA”, dẫn tới lệnh không được thực thi bởi hàm system() trong hàm diag_check.

Để có thể thực hiện lệnh, ta cần thiết lập giá trị (layout) của bộ nhớ như sau:

Việc đòi hỏi giá trị wan_state = 0x00000001 sẽ tạo ra null-byte trong quá trình copy dữ liệu sử dụng hàm strcpy. Dựa trên đặc điểm static của vùng nhớ .DATA mà có thể sử dụng thủ thuật dưới đây để có thể cài đặt layout của bộ nhớ và thực hiện lệnh.

Kết nối thứ 1: Thiết lập bộ nhớ và cài đặt lệnh cần thực thi:

Lúc này, giá trị của 0x3577c đã chứa nội dung lệnh cần thực hiện.

Kết nối thứ 2:

Ghi đè byte thứ 4 của ô nhớ 0x35768 về 0x00. Nội dung ô nhớ 0x35768 có giá trị 0x696969

Kết nối thứ 3: 

Tiếp tục ghi đè byte thứ 3 về 0x00 với nội dung của request với

Giá trị của wan_state = 0x6969

Kết nối thứ 4:

Kết nối cuối cùng hoàn tất việc ghi đè 2 byte đầu tiên của wan_state thành 0x0001

Minh họa kẻ tấn công thực hiện khai thác lỗ hổng:

Nội dung tệp tin /tmp/pwn trên modem:

Như vậy, sau 4 kết nối đơn giản, modem đã thực hiện lệnh ‘cat/etc/passwd>/tmp/pwn’ của người khai thác. Việc tấn công lên thiết bị này cho phép kẻ tấn công chiếm quyền điều khiển modem, từ đó mở rộng tấn công sang các thiết bị khác trong mạng.

Một số khuyến cáo của nhóm VreT, VSEC

Đối với người dùng: Hiện tại, người dùng cuối chưa có giải pháp triệt để có thể phòng tránh đối với việc khai thác tấn công lỗ hổng này. Giải pháp an toàn là hạn chế việc sử dụng mạng LAN đối với những người không đáng tin cậy và chờ đợi bản vá, cũng như cập nhật của ISP.

Đối với ISP: Thực hiện vá ngay lỗ hổng Buffer overflow bằng cách kiểm tra độ dài của dữ liệu được gửi lên hoặc sử dụng một hàm sao chép dữ liệu an toàn như: memcpy, strncpy; Tự động cập nhật thiết bị hoặc thông báo tới người dùng.