Smartphones: Broadpwn-Lücke könnte drahtlosen Wurm ermöglichen

Ein geradezu lehrbuchhafter Buffer Overflow ist der Grund für die Broadpwn-Sicherheitslücke. (Bild: Coolcaesar, Wikimedia Commons/CC-BY-SA 3.0)

Black Hat 2017

Erneut findet sich eine schwerwiegende Sicherheitslücke in der Broadcom-WLAN-Firmware. Der Entdecker der Lücke präsentierte auf der Black Hat ein besonders problematisches Szenario: Eine solche Lücke könnte für einen WLAN-Wurm, der sich selbst verbreitet, genutzt werden.

Mit Broadpwn ist ein weiteres Mal die Firmware von WLAN-Chips in Smartphones in den Fokus von Angreifern gerückt. Die Firma Exodus hat die entsprechende Sicherheitslücke in einem Talk auf der Black Hat vorgestellt, weitere Hintergründe liefert ein Blogpost. Im Frühjahr erst hatte Googles Project Zero einen Angriff auf Broadcom-WLAN-Chips präsentiert, mit dem auch eine Übernahme der Kontrolle über das Smartphone möglich war.

Laut Nitay Artenstein von Exodus sind echte Remote Exploits heutzutage selten. Die meisten Exploits verlangen irgendeine Art von Nutzerinteraktion, etwa das Aufrufen einer Webseite. Schutzmechanismen wie die Speicherrandomisierung ASLR (Address Space Layout Randomization) sowie nicht ausführbare Speicherbereiche (DEP, Data Execution Prevention) und eine reduzierte Angriffsfläche machen es fast unmöglich, moderne Betriebssysteme einfach über das Netzwerk anzugreifen.

90er-Style-Security ohne ASLR

Doch Schutzmechanismen wie ASLR sind heutzutage zwar auf Betriebssystemen - mit Ausnahme einiger Linux-Distributionen - üblich, im Bereich von Firmwares ist das Sicherheitsniveau aber laut Artenstein eher 90er-Jahre-Style. Daher bieten diese sich als Angriffsvektor an. Auf Smartphones sind dabei insbesondere der Baseband-Chip und der WLAN-Chip interessant.

Praktisch alle modernen Highend-Smartphones nutzen WLAN-Chips von Broadcom. Egal ob iPhone, Samsung Galaxy oder Google Nexus und Pixel - in den meisten Modellen ist ein Broadcom-Chip verbaut. Broadcom-Chips nutzen auf ihrem internen System kein ASLR. DEP ist zwar vorhanden, wird aber nicht korrekt verwendet.

Zu Hilfe kam den Forschern von Exodus, dass der Quellcode der eigentlich proprietären Firmware von Broadcom vor einiger Zeit unbeabsichtigt geleakt wurde. Auf Github findet man eine Kopie einer älteren Version.

Als Angriffsvektor bot sich der Association-Mechanismus von WLAN-Chips an. Wenn ein Smartphone sich mit einem WLAN-Netz verbindet, werden dabei auch bei verschlüsselten Verbindungen zunächst einige unauthentifizierte Nachrichten ausgetauscht.

Eine Herausforderung hier war, dass der Angreifer den Namen eines WLANs kennen muss, zu dem das Smartphone sich auch automatisch verbindet. Allerdings lässt sich einfach herausfinden, welche WLANs ein Smartphone bereits kennt, denn das System schickt automatisch sogenannte Probe Requests mit den Namen bekannter WLANs. Daher muss der Angreifer nur einen der Namen sniffen und kann anschließend einen Fake-Accesspoint mit diesem Namen und dem Exploit aufsetzen.