Հետազոտողը Sound Blaster Katana V2X բարձրախոսը վերածել է հեռակա Rubber Ducky-ի

Անվտանգության հետազոտողը հրապարակել է Creative Sound Blaster Katana V2X ձայնասյունակի խոցելիությունների մանրամասները, որոնք թույլ են տալիս մոտ 15 մետր շառավղում գտնվող հարձակվողին Bluetooth-ով տիրանալ սարքին՝ առանց զուգակցման և առանց դիպչելու, և օգտագործել այն՝ ստեղնահարվածներ ուղարկելու այն համակարգչին, որին միացված է բարձրախոսը։

Նախագիծը սկսվել է որպես USB-ով միացված բարձրախոսը կառավարելու Linux գործիք գրելու փորձ, և ավարտվել է սեփական որոնվածով, որը սարքը դարձնում է հեռակա կառավարվող Rubber Ducky։

Bluetooth-ով իսկորոշում չկա

Creative-ի աշխատասեղանային հավելվածը բարձրախոսը կառավարում է սեփական հրամանների հավաքածուով, որը հետազոտողը անվանում է CTP (Creative Transport Protocol)։ USB-ի դեպքում CTP-ն պահանջում է challenge-response իսկորոշում ստատիկ բանալիով, որը հնարավոր է ստանալ Creative-ի հավելվածի հետ տրվող բինարներից։ Bluetooth-ով այդ պաշտպանությունը բացակայում է։

Ուսումնասիրելով արտադրողի բջջային հավելվածի տրաֆիկը՝ նա պարզել է, որ զուգակցման տվյալները գրվում են մի BLE բնութագրիչում և կարդացվում մյուսից։ Այնուհետև նա նոթբուքից առանց զուգակցման միացավ բարձրախոսին, ուղարկեց որոնվածի տարբերակը կարդացող CTP հրամանը և ստացավ ամբողջ տարբերակի տողը։ Ուստի տիրույթում գտնվող ցանկացած սարք կարող է CTP հրամաններ ուղարկել բարձրախոսին։

Առանց ստորագրության որոնված

Որոնվածի թարմացումները նույնպես կատարվում են CTP-ով։ Կոնտեյները պարունակում է վերականգնման ռեժիմով բեռնիչ, հիմնական որոնվածի պատկերը և վերջում ավելացված SHA-256 ստուգիչ գումարը։ Ստորագրության ստուգում չկա. սարքը ընդունում է փոփոխված որոնվածը, եթե ստուգիչ գումարը ճիշտ է։ Նա դա հաստատել է՝ բարձրախոսի էկրանին ցուցադրվող «WELCOME» տողը փոխարինելով «PATCHED»-ով։

Փոփոխված պատկերի ներբեռնումը Bluetooth-ով տևել է մոտ տասը րոպե, որից հետո բարձրախոսը վերագործարկվել է և ցուցադրել փոփոխված տեքստը։ Քանի որ ձայնասյունակն արդեն համակարգչին ներկայանում է որպես USB HID սարք՝ ձայնի և մեդիայի կառավարման համար, հետազոտողը ավելացրել է երկրորդ report descriptor, որի շնորհիվ այն երևում է որպես ստեղնաշար, և օգտագործել HID տվյալների ուղարկման արդեն գոյություն ունեցող ռուտինը։ Նրա payload-ը փոխարինում է չօգտագործվող diagnostic խնդիրը, սպասում է մոտ 20 վայրկյան USB ենթահամակարգի բեռնմանը, մուտքագրում echo pwned և սեղմում Enter՝ ստեղնահարվածների միջև մոտ 20 միլիվայրկյան դադարով։ Իրական հարձակման ժամանակ հարձակվողը կբացեր shell, կտեղադրեր վնասակար հրաման և կանջատեր թարմացման ռուտինը, որպեսզի որոնվածը հնարավոր չլինի ջնջել։

Արտադրողի արձագանքը

Հետազոտողը խնդիրների մասին հայտնել է Սինգապուրի SingCERT-ին այն բանից հետո, երբ Creative-ի հետ կապ հաստատելու երկու փորձերը աջակցության ձևի միջոցով ձախողվել են. նրա խոսքով՝ ընկերությունը հրապարակային անվտանգության կոնտակտ չունի։ Creative-ին պատասխանելու համար գրեթե երկու ամիս է պահանջվել, և հունիսի 3-ին նա SingCERT-ին հայտնել է, որ դա «չի համարում խոցելիություն»։ Գործը փակվել է, արտադրողի ուղղում գոյություն չունի, և վերջին որոնվածը մնում է խոցելի։

Որպես մասնակի լուծում նա թողարկել է գործիք, որը ներբեռնում է պաշտոնական որոնվածը, հիշողության մեջ ուղղում այն՝ արգելափակելով CTP-ն Bluetooth-ով, և տեղադրում USB-ով միացված Katana V2X-ի վրա։ Այս լուծումը, հավանաբար, կխախտի արտադրողի բջջային հավելվածը, իսկ Bluetooth-ը մնում է միացված նույնիսկ քնի ռեժիմում՝ անջատելու ակնհայտ հնարավորության բացակայության պայմաններում։