CVE-2023-52160 Wi-Fi Vulnerability
חוקרי אבטחה חשפו שתי נקודות תורפה של עקיפת אימות בתוכנות Wi-Fi בקוד פתוח המשמשות במכשירי אנדרואיד, לינוקס ו-ChromeOS. פגמים אלו, שזוהו כ-CVE-2023-52160 ו-CVE-2023-52161, נחשפו במהלך הערכת אבטחה של wpa_supplicant ו-iNet Wireless Daemon (IWD) של אינטל, בהתאמה. ניצול הפגיעויות הללו עלול להטעות משתמשים להתחבר ללא ידיעה לשבטי רשת הונאה או לאפשר לתוקפים להצטרף לרשת מהימנה ללא צורך בסיסמה. ההשלכות כוללות יירוט פוטנציאלי של תעבורת נתונים של משתמשים על שיבוטי רשת זדוניים וגישה לא מורשית לרשתות מאובטחות אחרת.
ההשפעה של פגיעות ה-Wi-Fi CVE-2023-52160
CVE-2023-52160 משפיע על wpa_supplicant גרסאות 2.10 ואילך. זה גם הדחוף יותר מבין שני הפגמים בגלל העובדה שזו תוכנת ברירת המחדל המשמשת במכשירי אנדרואיד לטיפול בבקשות כניסה לרשתות אלחוטיות. עם זאת, זה משפיע רק על לקוחות Wi-Fi שאינם מוגדרים כראוי לאמת את האישור של שרת האימות.
ניצול מוצלח של בנקים CVE-2023-52160 בתנאי מוקדם שהתוקף מחזיק ב-SSID של רשת Wi-Fi שאליה התחבר הקורבן בעבר. זה גם מחייב את שחקן האיום להיות קרוב פיזית לקורבן. תרחיש אפשרי אחד עשוי להיות שבו תוקף מסתובב בבניין של חברה וסורק רשתות לפני שהוא מכוון לעובד שיוצא מהמשרד.
הפגיעות CVE-2023-52161 מאפשרת לתוקף לקבל גישה בלתי מורשית לרשת Wi-Fi מאובטחת, מה שמעמיד את המשתמשים והמכשירים הנוכחיים בסיכון לאיומים פוטנציאליים, כולל הדבקות של תוכנות זדוניות, גניבת נתונים ופגיעה באימייל עסקי (BEC). פגיעות זו משפיעה על IWD גרסאות 2.12 ואילך. CVE-2023-52161 מהווה סיכון לכל רשת המשתמשת במכשיר לינוקס כנקודת גישה אלחוטית (WAP).
חוקרים מפצירים בחברות ובמשתמשים לנקוט צעדים נגד ניצול חשוף
הפצות לינוקס בולטות כמו דביאן, רד האט, SUSE ואובונטו פרסמו ייעוץ המתייחס לשני הפגמים שזוהו. הדאגה של wpa_supplicant נפתרה בגרסאות ChromeOS 118 ואילך. עם זאת, תיקונים עבור אנדרואיד ממתינים. כאמצעי זהירות, משתמשי אנדרואיד מתבקשים להגדיר באופן ידני את אישור ה-CA עבור כל רשתות ארגוניות מאוחסנות כדי לצמצם התקפות פוטנציאליות.
גוגל אישרה את זמינות התיקונים לפגיעות זו ויצרה קשר עם יצרני ציוד מקורי (OEMs) כדי ליישם ולהפיץ את התיקונים למשתמשים שלהם. מומחי אבטחה מדגישים את החשיבות של התקנה עקבית של עדכוני האבטחה העדכניים ביותר של משתמשים במכשירים שלהם בתור שיטות עבודה מומלצות בסיסיות להבטחת אבטחה מיטבית.