Используя специальным образом составленные идентификаторы хотспотов (WiFi SSID), можно вывести из строя окружающие мобильные устройства, которые входят в зону действия и получают идентификатор хотспота. Теоретически, так можно даже распространять зловреды.
В списке рассылки OSS Sucurity сообщили об уязвимости CVE-2015-1863 в модуле wpa_supplicant, который используется в операционных системах Android, Linux и BSD. Хотя в Windows и OS X применяются собственные реализации по умолчанию, но определённые драйверы WiFi в этих системах тоже могут запустить wpa_supplicant, поэтому данные системы нельзя назвать полностью безопасными.
Проблема в том, как wpa_supplicant использует информацию SSID после парсинга управляющих фреймов, которые создают или обновляют информацию о соединения P2P. В частности, этой фреймы Probe Response и P2P Public Action.
Максимальный размер поля SSID составляет 32 октета. Но оно передаётся в элемент с 8-битной длиной и максимальным пространством для загрузки контента 255 октетов. При этом wpa_supplicant недостаточно хорошо проверяет размер загружаемого контента от пирингового устройства. Это может привести к передаче произвольных данных от атакующего устройства в буфер фиксированной длины 32 байта. Из-за переполнения буфера возможна перезапись некоторых переменных в конструкции p2p_device. К тому же, можно записать ещё до 150 байт за пределами пространства, выделенного для кучи. Последствия этого указывались выше: проще всего вывести устройство из строя (завершение работы ОС с ошибкой). Но если подойти с умом, то открывается дорога и для более сложной последовательности действий.
Патч для wpa_supplicant доступен здесь.
