Hardware Alarm on Google Nest Wifi Pro Highest privilege level compromised on Qualcomm IPQ5018 with EM Glitching

Google Nest Wifi Pro cihazlarında kullanılan Qualcomm IPQ5018 system-chip, elektromanyetik hata enjeksiyonu saldırılarına karşı yeterli fiziksel direnç göstermediği ortaya çıktı. Güvenlik araştırmacıları Cristofaro Mune and Niek Timmers, yürüttükleri çok aşamalı çalışmada, cihazın en yüksek ayrıcalık seviyesi olan EL3 Secure Monitor bağlamında keyfi kod yürütmeyi başardıklarını açıkladı.

Araştırma, üç bölüm halinde yayımlandı. İlk bölümde çipin Characterization against EMFI attacks, ikinci bölümde Getting random reads and writes in Secure Monitor, üçüncü bölümde ise Persistent code execution at EL3 level ayrıntıları paylaşıldı. Araştırmacılar, “Amaç, donanım tabanlı güvenlik mekanizmalarının gerçek dünyada ne kadar dayanıklı olduğunu ölçmekti.” ifadelerini kullandı.

How Electromagnetic Fault Injection Works
The EMFI method is based on applying very short-term and high-energy electromagnetic pulses to the processor.

Secure Monitor Checks Bypassed
Çalışmanın ikinci aşamasında, Secure Monitor tarafından uygulanan adres doğrulama mekanizmalarının hedef alındığı aktarıldı. Normal şartlarda yalnızca izin verilen bellek alanlarına erişim sağlayan is_allowed_address benzeri kontrollerin, doğru zamanlamayla yapılan EMFI saldırıları sonucunda devre dışı bırakılabildiği kaydedildi. Bu sayede, Random 32 bit read and write in EL3 context yapılabildiği vurgulandı.

XPU Configuration Changed
Araştırmanın en kritik aşamasında, TrustZone adres alanlarını koruyan XPU configuration yeniden programlanabildiği belirtildi. Araştırmacılar, “Tek bir başarılı glitch, Secure Monitor içinde keyfi uzunlukta kod yürütmek için yeterli.” ifadesini kullandı. Bu durumun, cihazın en korumalı yazılım katmanının tamamen kontrol altına alınması anlamına geldiği aktarıldı.

Attack is Difficult but Possible
Araştırmacılar, saldırının pratikte yüksek beceri, hassas ekipman ve uzun deneme süreleri gerektirdiğini belirtti. Ortalama başarı süresinin 30 to 40 minutes arasında değiştiği, çok sayıda yeniden başlatma ve zamanlama denemesi gerektiği kaydedildi. Buna rağmen, elde edilen sonucun teorik değil, pratik olarak uygulanabilir olduğu vurgulandı.

Hardware Security Discussion
The study revealed that software measures alone may not be sufficient in embedded network devices.

Kaynak: Beykozun Sesi