Kr00k, conocido formalmente como CVE-2019-15126, es una vulnerabilidad en los chips Wi-Fi de Broadcom y Cypress que permite el descifrado no autorizado de parte del tráfico cifrado con WPA2.   Millones de dispositivos con WiFi se han visto afectados por la vulnerabilidad, llamada Kr00k, que permite a un atacante descifrar información sensible enviada a través del aire. Entre los chips afectados hay varios de Cypress Semiconductor y Broadcom, y afecta a dispositivos como móviles, tablets y reproductores Android, iPhone, iPad, Mac, Amazon Echo, Kindle, Raspberry Pi 3, y routers de Asus y Huawei que usen conexiones WiFi WPA2. El hallazgo ha sidocompartido con la comunidad en la conferencia RSA 2020 de San Francisco

• La vulnerabilidad afecta a los protocolos WPA2-Personal y WPA2-Enterprise con cifrado AES-CCMP
• Kr00k está relacionado con KRACK (Key Reinstallation Attacks), descubierta en 2017 por Mathy Vanhoef
• Millones de dispositivos móviles de marcas tan populares como Apple, Samsung o Google, muchos de ellos ya sin teóricamente ya soporte. 
• Algunos fabricantes como Cisco ya han preparado parches para ser descargados

ESET, la compañía que ha descubierto la vulnerabilidad, afirma que la vulnerabilidad, con código CVE-2019-15126, afecta a los chips de ambas compañías, y que usan miles de millones de dispositivos en la actualidad. Los fabricantes ya han lanzado parches para solucionarla, pero es difícil llevar un seguimiento de cuántos han instalado los parches. De hecho, muchos de los dispositivos afectados no llegan a recibir un parche nunca.


El fallo afecta a aún más dispositivos de los que tienen el chip, ya que, si por ejemplo tenemos un router con este chip, pero nuestro móvil usa un chip que no está afectado, las comunicaciones enviadas entre ambos dispositivos seguirán siendo vulnerables al ataque.

La vulnerabilidad ocurre cuando un dispositivo se desvincula de un punto de acceso WiFi. Si uno de los dos dispositivos es vulnerable, Kr00k introducirá datos no enviados en el búfer y los transmitirá por aire. Así, en lugar de cifrar los datos con la clave de la sesión negociada anteriormente y usada en la conexión, los dispositivos vulnerables usarán una clave hecha sólo de ceros, permitiendo descifrar todos los datos de la transmisión.

La desvinculación entre dispositivos ocurre constantemente, ya sea cuando nos alejamos de casa, ponemos el modo avión, cambios de punto de acceso, o simplemente apagamos el WiFi del móvil. Si hay un hacker cerca de nuestra red, éstos pueden enviar paquetes de desvinculación a cualquier dispositivo vulnerable, los cuales no están cifrados y no requieren autenticación. Así, pueden desconectar nuestro móvil del WiFi a placer, y a partir de ahí llevar a cabo el ataque, capturando y descifrando todos los datos enviados.

Por “suerte”, el ataque ha de realizar varias de estas desvinculaciones para obtener cantidades de datos importantes, ya que con cada desvinculación sólo pueden obtener kilobytes de datos. Además, los ataques serían fáciles de detectar por el usuario si viera que el WiFi no para de conectarse y desconectarse.

Mientras KRACK afectaba al propio protocolo, Kr00k es una vulnerabilidad más específica y donde pese a afectar a millones de dispositivos, su solución es más sencilla. Estas son las diferencias entre KRACK y Kr00k, según explican los propios investigadores.

Dispositivos WiFi afectados por Kr00k confirmados

Entre los dispositivos que han encontrado vulnerables se encuentran:

• Amazon Echo 2ª generación
• Amazon Kindle 8ª generación
• Apple iPad mini 2
• Apple iPhone 6, 6S, 8, XR
• Apple MacBook Air Retina 13 pulgadas (2018)
• Google Nexus 5
• Google Nexus 6
• Google Nexus 6S
• Raspberry Pi 3
• Samsung Galaxy S4 GT-I9505
• Samsung Galaxy S8
• Xiaomi Redmi 3S
• Asus RT-N12
• Huawei B612S-25d
• Huawei EchoLife HG8245H
• Huawei E5577Cs-321

Estos cuatro últimos son routers, y como vemos en el caso de los móviles, muchos han dejado ya de recibir parches. Apple parcheó las vulnerabilidades en macOS y en iOS el pasado mes de octubre. Windows 10 y Android también tienen sus respectivos parches. Aunque en el listado salgan esos dispositivos donde han confirmado que la vulnerabilidad funciona, puede haber otros muchos afectados en los que no la han probado.

Como esta vulnerabilidad afecta los chips de Wi-Fi utilizados en dispositivos fabricados por varios proveedores, el proceso de parcheo involucra tanto a los fabricantes de chips (Broadcom y Cypress) como a los fabricantes de dispositivos. ESET reveló de manera responsable la vulnerabilidad identificada a Broadcom y Cypress, quienes posteriormente lanzaron parches a los fabricantes de dispositivos individuales.

Más allá de los chips de Broadcom y Cypress, los investigadores hicieron pruebas en chips de Qualcomm, Realtek, Ralink y Mediatek, y no encontraron las vulnerabilidades, por lo que son seguros.

Un truco para evitar verse afectado por la vulnerabilidad si nuestro dispositivo ya no recibe actualizaciones de seguridad es usar siempre conexiones por HTTPS, tener DNS por HTTPS, o directamente utilizar una VPN, aunque esto no nos protege ante las desconexiones, pero sí ante el posible robo de datos.

Fuente:
https://www.adslzone.net/2020/02/26/kr00k-vulnerabilidad-wifi-espiar/