ZigBee – беспроводной стандарт, надстройка IEEE 802.15.4, при помощи которого устройства, подключенные к интернету вещей (IoT), общаются друг с другом. Данный стандарт используют для своих устройств Samsung, Amazon, Philips и многие другие крупные производители. Специалисты Check Point предупредили, что злоумышленники могут использовать уязвимость в реализации протокола ZigBee для доставки малвари в целевые сети, скомпрометировав для этого умные лампочки Philips Hue и их контроллеры.
Обнаруженная экспертами уязвимость получила идентификатор CVE-2020-6007 и набрала 7,9 баллов по десятибалльной шкале оценки уязвимостей CVVS3. Баг представляет собой переполнение буфера хипа, и его можно использовать против устройств Philips Hue Bridge модели 2.x для удаленного выполнения произвольного кода. Уязвимыми считаются все версии прошивки вплоть до версии до 1935144040, выпущенной 13 января 2020 года.
Исследователи создали атаку, работающую на расстоянии примерно 100 метров от уязвимого устройства Philips Hue. Атака позволяет взломать другие устройства в той же сети, где находится уязвимая лампочка.
Так, для начала специалисты оснастили лампочку вредоносной прошивкой, а затем перешли к атаке на Philips Hue Bridge, спровоцировав переполнение буфера хипа. Это позволяет установить малварь и на контроллер (Philips Hue Bridge), который, в свою очередь, подключен к сети компании или домашней сети.
В итоге атакующий получает возможность развить свою атаку далее и перейти к другим системам в сети, используя известные эксплоиты, а затем развернуть в целевой сети любую угрозу (бэкдор, шпионское ПО, инфостилер, майнер, вымогатель).
Исследователи описывают атаку следующим образом. Скомпрометировав лампочку, хакер может изменить ее цвет или яркость, чтобы обмануть пользователя, заставив того думать, что произошел какой-то сбой. Так как лампочка будет отображаться в приложении как «недоступная», ее владельцу останется лишь попытаться сбросить настройки. То есть удалить лампочку из приложения, а затем поручить Philips Hue Bridge обнаружить ее заново. В итоге контроллер обнаружит скомпрометированную лампу и добавит обратно в свою сеть. Но лампа с обновленной прошивкой воспользуется уязвимостью протокола ZigBee, чтобы вызвать переполнение буфера хипа. В итоге хакер смогут установить малварь уже на Philips Hue Bridge, откуда атаку можно распространить дальше, используя различные эксплоиты, вроде печально известного EternalBlue.
Демонстрацию атаки можно увидеть ниже.
«Многие из нас знают, что IoT- устройства могут быть небезопасны. Это исследование показывает, что даже самые обыденные, казалось бы, простейшие устройства, такие как лампочки, могут быть использованы хакерами для захвата сетей и внедрения вредоносных программ, — рассказывает Янив Балмас, глава отдела кибер-исследований в подразделении Check Point Research. — Очень важно, чтобы организации и обычные пользователи защищали себя от возможных атак, регулярно обновляя свои устройства и отделяя их от других компьютеров в своих сетях. Это нужно, чтобы ограничить возможное распространение вредоносных программ. Сейчас, в сложном ландшафте атак пятого поколения, необходимо контролировать все, что связано с нашими сетями».
Эксперты уведомили компании Philips и Signify (владелец бренда Philips Hue) о проблеме еще в ноябре 2019 года. Компания Signify подтвердила наличие уязвимости, и выпустила исправленную версию прошивки (1935144040), которая уже доступна посредством автоматического обновления.
