Ernstige wifi-kwetsbaarheid ontdekt in Android en ChromeOS
In een uitgebreid rapport worden de wifi-kwetsbaarheden uiteengezet. Vast staat dat zowel thuis- als bedrijfsnetwerken gevoelig zijn voor de wifi-beveiligingslekken. Een van de kwetsbaarheden bevindt zich in de zogeheten “wpa_supplicant” (CVE-2023-52160), die verantwoordelijk is voor het authenticatieproces van wifinetwerken. Meer specifiek treft de kwetsbaarheid toestellen die versie 2.10 of lager gebruiken. Volgens de onderzoekers zijn het Android-telefoons die dit protocol gebruiken om te kunnen inloggen op wifinetwerken.
Door de kwetsbaarheden kunnen zulke inlogpogingen worden onderschept. Het toestel logt dan in bij een gekloonde versie van het wifinetwerk, waarna hackers de data van dat apparaat onderscheppen. De hackers kunnen die gegevens vervolgens ook inzetten om zonder wachtwoord op het echte wifinetwerk in te loggen. Kortom: het verschaft hackers toegang tot wifinetwerken én de data op de smartphone van de nietsvermoedende gebruiker.
Goed om te weten: de kwetsbaarheid in wpa_supplicant treft alleen zakelijke netwerken die WPA2 of WPA3 in de zogeheten “Enterprise Mode” gebruiken. Aanvullend stellen de onderzoekers dat er iets mis moet zijn met de wificonfiguratie van de apparaten. Dat geldt voor zowel Android, ChromeOS als Linux. Echter blijkt dat nogal vaak het geval, melden ze in het rapport. Geschat wordt dat ongeveer 2,3 miljard Android-toestellen hierdoor kwetsbaar zijn.
Exclusieve Linux-kwetsbaarheid
Linux-gebruikers moeten rekening houden met een kwetsbaarheid die ook thuisnetwerken treft. De bug werd gevonden in IWD, een stuk software dat ontwikkeld werd door Intel. Apparaten met versie 2.13 of lager zijn kwetsbaar voor aanvallen (CVE-2023-52161), schrijven de onderzoekers.
De aanvallen verschillen wel van die met wpa_supplicant. In plaats van gebruikers te laten verbinden met een gekloonde versie van het netwerk, proberen hackers hier juist het wifinetwerk te penetreren. Hierdoor kunnen ze malware verspreiden naar apparaten op het netwerk en wachtwoorden (en andere data) stelen.
Updates zijn onderweg
Google heeft de kwetsbaarheid reeds kunnen oplossen in ChromeOS, en rolt een oplossing uit vanaf versie 118. Gebruikers die deze update al hebben geïnstalleerd, kunnen weer rustig ademhalen. Wat Android-telefoons betreft is er nog geen zicht op een update. Ook voor Linux geldt dat er nog aan updates gewerkt wordt. Bij Linux blijft het bovendien afwachten wanneer jouw distro de update kan uitrollen.
