Veel iPhones, iPads, Samsungs en routers lek via wifi-chip

Het gaat om de FullMAC WLAN chip die aanvankelijk door Cypress Semiconductor werd ontwikkeld en na de overname van Cypress in 2016 door Broadcom ook door deze chipproducent werd gemaakt. De kwetsbaarheid is al eind 2018 ontdekt, beschreven in bulletin CVE-2019-15126 en gepatcht. Maar producenten hebben in veel gevallen verzuimd deze patch aan te brengen in de apparatuur, ontdekten onderzoekers van IT-beveiliger Eset.

De kwetsbaarheid - ook wel aangeduid met Kr00k - kan worden misbruikt wanneer een wifi-apparaat tijdelijk buiten het bereik van het wifi-netwerk komt waar het mee verbonden was. De communicatie stokt dan en het apparaat slaat de onverstuurde data tijdelijk op in een buffer om te versturen zodra de verbinding is hersteld. Als echter een van de apparaten waartussen de verbinding weer tot stand komt de kwetsbaarheid bevat wordt er geen beveiliging gebruikt met de vereiste sleutel, maar in plaats daarvan een sleutel bestaande uit alleen nullen gebruikt. Op dat moment is de verbinding dus eenvoudig te kapen en de data te ontcijferen. Kwaadwillenden hebben een reeks aan mogelijkheden om de communicatie tussen twee apparaten tijdelijk geforceerd te verbreken.

Eset vond een groot aantal toesteltypen dat de kwetsbaarheid nog altijd bevat, bijvoorbeeld:

Amazon Echo 2nd gen
Amazon Kindle 8th gen
Apple iPad mini 2
Apple iPhone 6, 6S, 8, XR
Apple MacBook Air Retina 13-inch 2018
Google Nexus 5
Google Nexus 6
Google Nexus 6S
Raspberry Pi 3
Samsung Galaxy S4 GT-I9505
Samsung Galaxy S8
Xiaomi Redmi 3S

en de routers:

Asus RT-N12
Huawei B612S-25d
Huawei EchoLife HG8245H
Huawei E5577Cs-321

Ars Technica vroeg een reactie aan de makers van deze apparatuur. Apple zei dat de kwetsbaarheid in oktober vorig jaar was verspreid voor iOS en macOS. Amazon reageerde dat ook de genoemde readers een update hebben gehad met de betreffende patch. Waarom de apparatuur die Eset testte, toch nog de kwetsbaarheid bevatten, wordt niet duidelijk. De routers vormen het grootste probleem, omdat de eigenaren in veel gevallen nooit patches op de betreffende apparatuur aanbrengen.

De ernst van het probleem wordt enigszins getemperd door het feit dat de meeste communicatie tussen gebruikersapparatuur en accesspoints de afgelopen jaren is beveiligd met een encryptie op een hoger niveau dan de beveiliging van de wifi-verbinding, dus via TLS dat zorgt voor een https-verbinding, ofwel het groene slotje in de URL-balk van de browser. Bovendien moeten de aanvallers vermodelijk vele keren de verbinding verbreken om eventuele waardevolle informatie op te vangen. Het valt al snel op als de verbinding steeds uitvalt zonder aantoonbare reden.

Toch is het verstandig op zoek te gaan naar de laatste update voor de betreffende apparatuur of liever nog een automatische update in te stellen.