Tədqiqatçı Sound Blaster Katana V2X dinamikini uzaqdan Rubber Ducky-yə çevirdi

Təhlükəsizlik tədqiqatçısı Creative Sound Blaster Katana V2X səs panelindəki zəifliklərin təfərrüatlarını dərc edib. Bu zəifliklər təxminən 15 metr məsafədəki hücumçuya cihazı Bluetooth üzərindən — cütləşmədən və toxunmadan — ələ keçirməyə və dinamikin qoşulduğu kompüterə düymə basmaları göndərməyə imkan verir.

Layihə USB ilə qoşulmuş dinamiki idarə etmək üçün Linux aləti yazmaq cəhdi kimi başlayıb və cihazı uzaqdan idarə olunan Rubber Ducky-yə çevirən xüsusi firmware ilə tamamlanıb.

Bluetooth-da autentifikasiya yoxdur

Creative-in masaüstü tətbiqi dinamiki tədqiqatçının CTP (Creative Transport Protocol) adlandırdığı mülkiyyət xarakterli əmr dəsti ilə idarə edir. USB üzərindən CTP, Creative tətbiqi ilə gələn binar fayllardan əldə edilə bilən statik açarla çağırış-cavab autentifikasiyası tələb edir. Bluetooth üzərindən bu qoruma yoxdur.

İstehsalçının mobil tətbiqinin trafikini dinləyərək o, cütləşmə məlumatlarının bir BLE xarakteristikasına yazıldığını, digərindən oxunduğunu müəyyən edib. Sonra noutbukdan cütləşmədən dinamikə qoşulub, firmware versiyasını oxuyan CTP əmrini göndərib və tam versiya sətrini alıb. Yəni məsafədə olan istənilən cihaz dinamikə CTP əmrləri göndərə bilər.

İmzasız firmware yeniləmələri

Firmware yeniləmələri də CTP üzərindən həyata keçirilir. Konteynerdə bərpa rejimi olan yükləyici, əsas firmware təsviri və sonuna əlavə edilmiş SHA-256 yoxlama cəmi var. İmza yoxlaması yoxdur: cihaz yoxlama cəmi düzgün olduğu müddətcə dəyişdirilmiş firmware-i qəbul edir. Tədqiqatçı bunu dinamikin ekranında görünən «WELCOME» sətrini «PATCHED» ilə əvəz edərək təsdiqləyib.

Dəyişdirilmiş təsvirin Bluetooth-la yüklənməsi təxminən on dəqiqə çəkib, bundan sonra dinamik yenidən işə düşüb və dəyişdirilmiş mətni göstərib. Səs paneli kompüterə artıq səs və media idarəsi üçün USB HID cihazı kimi göründüyündən, o, cihazı klaviatura kimi təqdim edən ikinci report descriptor əlavə edib və mövcud HID məlumatı göndərmə rutinindən istifadə edib. Onun payload-u istifadə olunmayan diaqnostika tapşırığını əvəz edir, USB alt sisteminin işə düşməsini təxminən 20 saniyə gözləyir, echo pwned yazır və Enter basır, düymə basmaları arasında təxminən 20 millisaniyə fasilə ilə. Real hücumda təcavüzkar shell açıb zərərli əmr yerləşdirər və firmware-in silinməsinin qarşısını almaq üçün yeniləmə rutinini söndürərdi.

İstehsalçının cavabı

Tədqiqatçı Creative ilə dəstək forması vasitəsilə əlaqə saxlamasının iki cəhdi uğursuz olduqdan sonra problemləri Sinqapurun SingCERT qurumuna bildirib; onun sözlərinə görə, şirkətin ictimai təhlükəsizlik əlaqəsi yoxdur. Creative-in cavab verməsi təxminən iki ay çəkib və 3 iyun tarixində şirkət SingCERT-ə bildirib ki, bunu «kibertəhlükəsizlik riski yaratmadığı üçün zəiflik hesab etmir». İş bağlanıb və istehsalçı yaması yoxdur — ən son firmware hələ də həssasdır.

Qismən həll kimi o, rəsmi firmware-i yükləyən, yaddaşda CTP-nin Bluetooth üzərindən işləməsini bloklayacaq şəkildə yamalayan və USB ilə qoşulmuş Katana V2X-ə yazan alət buraxıb. Bu düzəliş, çox güman ki, istehsalçının mobil tətbiqini sıradan çıxarır, Bluetooth isə yuxu rejimində də açıq qalır və onu söndürməyin aşkar yolu görünmür.