Alert GCSA-19044 - Vulnerabilita' nel protocollo WPA3
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 ****************************************************************** Alert ID : GCSA-19044 Data : 14 aprile 2019 Titolo : Vulnerabilita' nel protocollo WPA3 ****************************************************************** :: Descrizione del problema Sono state identificate numerose vulnerabilita' nella progettazione e nelle implementazioni del protocollo WPA3 che possono consentire a un attaccante remoto di acquisire una password debole, eseguire un denial of service, o anche di ottenere un'autorizzazione completa. L'insieme di queste nuove vulnerabilita' viene identificato anche con il nome di Dragonblood. :: Software interessato WPA3 usa la Simultaneous Authentication of Equals (SAE), nota anche come Dragonfly Key Exchange, come protocollo di scambio iniziale delle chiavi, al posto del protocollo Pre-Shared Key (PSK) di WPA2. Il software interessato e' hostapd, un demone per access point e server di autenticazione usato da WPA3, e wpa_supplicant, che implementa la negoziazione della chiave e supporta WPA3. Entrambi i componenti, implementati con Extensible Authentication Protocol Password (EAP-PWD) e SAE, presentano le seguenti vulnerabilita': CVE-2019-9494, CVE-2019-9495, CVE-2019-9496, CVE-2019-9497, CVE-2019-9498, CVE-2019-9499. :: Impatto Possibilita' di recuperare password, forzare la terminazione del processo hostapd, completare l'autenticazione EAP-PWD senza password, ottenere la session key, l'accesso alla rete e il controllo della connessione dati con un client. :: Soluzioni Aggiornare hostapd e wpa_supplicant alla versione 2.8. E' possibile anche mitigare gli effetti delle vulnerabilita' come indicato nei riferimenti. :: Riferimenti Carnegie Mellon University - CERT Coordination Center WPA3 design issues and implementation vulnerabilities in hostapd and wpa_supplicant https://www.kb.cert.org/vuls/id/871675/ CVE-2019-9494 https://w1.fi/security/2019-1/ CVE-2019-9495 https://w1.fi/security/2019-2/ CVE-2019-9496 https://w1.fi/security/2019-3/ CVE-2019-9497 https://w1.fi/security/2019-4/ CVE-2019-9498 https://w1.fi/security/2019-4/ CVE-2019-9499 https://w1.fi/security/2019-4/ GARR CERT Newsletter subscribe/unsubscribe: https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert -----BEGIN PGP SIGNATURE----- iF0EARECAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCXLNUvQAKCRDBnEyTZRJg QqnxAKDUNz7SfkOLOBNn+Iit4nC9qfGL4ACgskoXsB7T1QF2INzWNXVruCvN91s= =xWYg -----END PGP SIGNATURE-----