Onderzoekers leggen kwetsbaarheden in usb-implementaties bloot

Beveiligingsonderzoekers hebben op de Black Hat-beveiligingsconferentie in Amsterdam gaten in usb-implementaties getoond. Zo vond een onderzoeker een beveiligingslek in verschillende Samsung-telefoons met Android.

Beveiligingsonderzoeker André Pereira toonde tijdens de Europese editie van Black Hat hoe hij met een gemodificeerde usb-stekker root-toegang op een Samsung Galaxy Ace wist te verkrijgen. De onderzoeker gebruikte commando's die Samsung heeft ingebouwd om de beheertool Kies te laten communiceren met een telefoon.

Een aanvaller zou daardoor onder meer nieuwe firmware naar een toestel kunnen flashen. Ook zou hij een niet verwijderbare surveillance-app kunnen installeren of dure sms'jes kunnen sturen. Overigens zou het flashen niet onopgemerkt blijven: een toestel reboot dan en geeft een melding. Bovendien moet iemand fysieke toegang tot een telefoon hebben, bijvoorbeeld met een speciaal geprepareerde oplader.

Niet alleen de Galaxy Ace, ook andere Samsung-toestellen zijn kwetsbaar voor de aanval, vertelt Pereira tegen Tweakers. "Onder meer de Samsung Galaxy S3", aldus de Portugese beveiligingsonderzoeker, die contact heeft gehad met Samsung over het beveiligingsprobleem maar niet weet of het Koreaanse bedrijf met een patch komt. Of ook nieuwere Samsung-telefoons kwetsbaar zijn, heeft Pereira niet getest.

Beveiligingsonderzoekers Sergej Schumilo en Ralf Spenneberg toonden op dezelfde beveiligingsconferentie hoe ze een tool hebben gebouwd om kwetsbaarheden in usb-drivers te vinden. Momenteel werkt die tool enkel voor usb-drivers op Linux, maar de onderzoekers willen ook Windows-drivers onder de loep nemen. Het is volgens hen echter een stuk moeilijker om drivers onder Windows geautomatiseerd te testen.

De onderzoekers gebruikten fuzzing, een proces waarbij een programma wordt gevoed met willekeurige gegevens om het te laten crashen. Als een programma crasht, is het in theorie namelijk mogelijk om eigen code in het geheugen te injecteren. De onderzoekers automatiseerden het testen van drivers met behulp van virtualisatie. Op een Xeon-server met 24 cores en 64 gigabyte aan intern geheugen wisten ze 320 tests per seconde uit te voeren, oftewel meer dan een miljoen tests per uur.

De onderzoekers noemen de resultaten schokkend: 0,3 procent van de tests zorgde voor een beveiligingsprobleem dat in theorie te misbruiken is. Ze hebben niet getest of dat daadwerkelijk kon. Het gaat onder meer om segmentatiefouten: momenten waarop een aanvaller zijn eigen code zou kunnen injecteren.

Reacties (25)

[chopper88]

" Beveiligingsonderzoeker André Pereira toonde tijdens de Europese editie van Black Hat hoe hij met een gemodificeerde usb-stekker root-toegang op een Samsung Galaxy Ace wist te verkrijgen. De onderzoeker gebruikte commando's die Samsung heeft ingebouwd om de beheertool Kies te laten communiceren met een telefoon.

Een aanvaller zou daardoor onder meer nieuwe firmware naar een toestel kunnen flashen. "

Met fysieke toegang en USB kan je toch altijd root toegang krijgen? Het enige verschil hier is dat een apparaat dat geen herkenbare computer is dit in automatische stappen doet. Ik zie dit niet als een kwetsbaarheid in USB en/of Android, meer een probleem in de Samsung software dat je tegenwoordig een apparaat kan vermommen als iets anders (een computer die er als een oplader uit ziet) en daar automatische stappen mee kan uitvoeren waar blijkbaar geen fysieke knop voor ingedrukt hoeft te worden oid.

[bantoo]

Met fysieke toegang en USB kan je toch altijd root toegang krijgen?
Natuurlijk niet. Je hebt niet eens toegang tot een normale user op het moment dat je er een USB kabel aan hangt. Enkel tot een deel van de opslag.
Dat punt waar apparaten van type kunnen veranderen is juist een kwetsbaarheid in USB. Dit is gedeeltelijk af te vangen in de telefoon software maar de bron van de fout zit in USB.

[chopper88]

Ik doel meer op het feit dat als ik een telefoon in handen heb, ik er via USB een computer aan kan koppelen en dezelfde stappen kan uitvoeren om te rooten Die onderzoeker heeft nu alleen die computer vervangen voor een computer die er fysiek uit ziet als een oplader oid.

Het gaat niet om wat er precies benaderbaar is dat via USB uit te lezen of te bewerken is of niet.

[Reactie gewijzigd door chopper88 op 24 juli 2024 21:35]

[jeroen7s]

voor je toestel te rooten heb je echter usb-debugging mode nodig, en ik denk dat dat op deze manier niet het geval is

[Armin]

Dat punt waar apparaten van type kunnen veranderen is juist een kwetsbaarheid in USB

Volgens mij is het geen USB protocol/hardware kwetsbaarheid, maar een kwetsbaarheid in de software stack zoals gebruikt op deze Android toestellen.

Immers het flashen van software via USB doet bij mij allerlei alarmbellen rinkelen. Op iOS of Windows Phone gaat dat nimmer te nooit lukken, want moet de binary een handtekening hebben. En zelfs als je het lukt de bits fysiek in de flash te krijgen via een lek of zo, dan weigert het OS te booten. En zelfs als je daar ook omheen komt, moet (in ieder geval op Windows Phone) de binary zélf ook nog een geldige handtekening hebben.

Dit verhaal lijkt te suggereren dat de Samsung Android
- én een lek heeft in de flashing software
- én geen verificatie van het image doet
- én geen secure boot heeft
- én met standaard instellingen (!) software zonder handtekening laat draaien.

Ofwel Windows 95 stijl software bescherming.

[Cerberus_tm]

Zoals Jeroen zegt moet je normaliter USB Debugging aanzetten in Android om de telefoon open te zetten voor het flashen van dingen via USB; hoewel het artikel hier niet duidelijk over is, vermoedt hij dat er in dit geval geflasht kan worden op bepaalde telefoons van Samsung terwijl USB Debugging uitstaat. Dat is natuurlijk wel makkelijk voor Samsung als ze software willen updaten, maar een serieus veiligheidsrisico. USB Debugging moet gewoon vereist zijn in alle gevallen; misschien moet de naam wel vervriendelijkt worden, "telefoon openzetten voor USB-toegang" of iets dergelijks.

[Thystan]

Software zonder handtekening installeren is een optie in de instellingen. Staat standaard uit, maar mensen die het aanzetten zetten het vaak niet weer uit.

[Verwijderd]

Alleen heeft die encription in lolypop zo weinig waarde want geheime diensten hebben dus nogsteeds de mogelijkheid om data van het toestel te halen.

Waar haal je die onzin vandaan?
Je data wordt encrypted met je password. Dat password zelf staat verder nergens opgeslagen. Zij kunnen dus hooguit je encrypted data van het toestel halen (wat trouwens iedereen kan als ze je telefoon openschroeven, de flash storage eruit wippen en die los uitlezen). Maar zolang ze jouw password niet hebben kunnen ze nog steeds niets met die data.

Hoe veilig het OS ook is, ze kunnen hierdoor er altijd bij.

Nee dus, dat heeft niets met de veiligheid van het OS te maken, maar alles met hoe solide het encryptie-algoritme is (en het password, maar met wat key stretching lukt dat wel). AES-256 is bijvoorbeeld hartstikke veilig.

[gekkie]

Tijd voor een USB condoom .. wat alles filtert .. instelbaar op wat voor device je er in plugt .. zodat ook je mass storage niet plots voor hidden keyboard gaat spelen

Of wat minder vreemdgaan en niet jan en allemaan in al je poortjes laten ... tenzij er een langdurige relatie is die je vertrouwd ... helaas is een UOA test nog lastig du moment.

[Anonymoussaurus]

Daar zeg je een erg goed voorbeeld

[Thystan]

USB moet duidelijk beter beschermd, en het liefst meer instellingen krijgen zodat je als gebruiker meer controle hebt over wat een USB apparaat precies gaat doen op je computer.

[Dysmael]

Dat heeft geen zin. Idee is dat je een "USB stick" aansluit dat in werkelijkheid een toetsenbord is en ook als zulks door het systeem herkent wordt.

Het heeft dus geen zin om alleen HID toe te staan bv. Maar je kan wel specifieke devices toestaan. Dat is al lang mogelijk. Je kan bv. alleen specifieke ID's van specifieke vendors toestaan.

[Soldaatje]

Als er een kernel panic is kan je helemaal niks meer, segmentation fout weet ik niet zeker.

[Joost]

Als er een kernel panic is kan je helemaal niks meer, segmentation fout weet ik niet zeker.

Goed punt, aangepast in stuk.

[JAVE]

Een segmentation fault stop alleen het crashende programma. Als dat een essentieel onderdeel van je systeem is kan dat ook funest zijn, maar meestal is dat niet het geval.

[Only5left]

Betekend dit dat het alleen om samsung telefoons gaat vanwege ondersteuning voor Kies?

[freaky]

Nee het betekend dat ze niet genoeg tijd noch middelen hebben om de duizenden en duizenden verschillende producten die er zijn allemaal te testen en begonnen zijn met wat makkelijk was en waarschijnlijk populair. Samsung verkoopt nou eenmaal veel telefoons en linux is open wat testen makkelijker maakt.

Als je andere dingen op basis daarvan uit gaat sluiten doe je een bijzonder foute aanname.

[lani100]

In dit geval ja.

[mutley69]

Ach via firewire kon je toch ook heel 't geheugen uitlezen?

[mae-t.net]

Het is ook nooit goed he?

Nu heeft het artikel een zeer algemene en understated titel, dan is het opeens sensatie. De vorige keer had een artikel over een iPhone een nogal overdreven titel (die al snel aangepast werd) en toen was het ook sensatie.

In werkelijkheid was het in beide gevallen gewoon technisch nieuws, zoals je dat van een technische nieuwswebsite mag verwachten (duh??).

[terror538]

Dat beschermt je echter niet daar de telefoon vatbaar is en het niet gaat over de software over je pc!