Et sikkerhetsbrudd (CVE-2020-12695) i Universal Plug and Play (UPnP), som er implementert i milliarder av nettverk og IoT enheter – personlige datamaskiner, skrivere, mobile enheter, rutere, spillkonsoller, Wi-Fi-tilgangspunkter, og så videre – kan gi uautorisert, ekstern angriper å exfiltrate data, skanne interne nettverk eller gjøre enhetene delta i DDoS-angrep.,
Om UPnP
UPnP er et sett av nettverk protokoller som gjør det mulig for nettverksenhetene til å automatisk oppdage og samhandle med hverandre når de er på det samme nettverket.
UPnP er først og fremst beregnet for boliger og SOHO trådløse nettverk. Den er designet for å brukes i en klarert local area network (LAN) og så protokollen ikke gjennomføre noen form for godkjenning eller verifisering. Det er en av grunnene til at noen UPnP-enheter leveres med protokollen er slått av som standard, og det er på administratorer å aktivere det, hvis det er nødvendig.,
utvikling av UPnP-protokollen er administrert av Åpne Tilkobling Foundation (OCF), en standard organisasjon som har som mål å fremme samspill mellom tilkoblede enheter.
Om sikkerhetsbruddet (CVE-2020-12695)
CVE-2020-12695 (aka «CallStranger») ble oppdaget av sikkerhet forsker Yunus Çadırcı og personlig rapportert til OFC i slutten av 2019.,
«Den sårbarhet (…) er forårsaket av Innb. header verdi i UPnP ABONNERE funksjonen kan styres av en angriper og gjør det mulig for en SSRF-som et sikkerhetsproblem som rammer millioner av Internett-vendt og milliarder av LAN-enheter,» Çadırcı forklart.
Mer tekniske detaljer er tilgjengelig her, men i korte, sårbarheten kan brukes til å omgå DLP og network security-enheter til exfiltrate data -, skanne-interne porter, og tvinge millioner av Internett-vendte UPnP-enheter til å bli en kilde av forsterket reflektert TCP DDoS.
Hva nå?,
Åpne Tilkobling Foundation fast sårbarhet og oppdatert UPnP-spesifikasjon på April 17, 2020. De har også kontaktet noen berørte leverandører (de som er inkludert i Çadırcı ‘ s rapport).
En Shodan søk viser at det er rundt 5,5 millioner Internett-vendte enheter med UPnP-aktivert ute.
Blant de bekreftet sårbare enheter er datamaskiner som kjører Windows, 10, Xbox-En, Belkin WeMo hjemme automasjon enheter, skrivere produsert av Canon, HP og Epson, Samsung smart-Tv-er, – rutere og modem produsert av Broadcom, Cisco, D-Link, Huawei, Zyxel, og mer.,
CMU er Software Engineering Institute har også publisert en sårbarhet merk for CVE-2020-12695 og kommer til å oppdatere den til listen berørte enheter og lenker til tilgjengelige patcher. De har også bemerket at, generelt, noe som gjør UPnP tilgjengelig over Internett, bør unngås.
«Device produsenter oppfordres til å deaktivere UPnP ABONNERE evne i sine standard konfigurasjon og å kreve at brukerne eksplisitt aktiverer du vil ABONNERE med alle nødvendige nettverk restriksjoner for å begrense bruken til en klarert local area network», de anbefales.,
«Leverandører oppfordres til å implementere oppdatert spesifikasjonen av OCF. Brukere bør overvåke leverandøren støtte-tv etter oppdateringer for å implementere den nye ABONNERE spesifikasjon.»
Çadırcı bemerkes at på grunn CallStranger er en protokoll som et sikkerhetsproblem, kan det ta lang tid for leverandørene å gi flekker.
«Hjem-brukere er ikke forventet å være rettet direkte. Hvis deres internett-tilkoblede enheter har UPnP-enheter, deres enheter kan brukes for DDoS-kilde,» la han til.,
Han rådet foretak for å sjekke om utstyr de bruker er sårbar og gitt et skript som kan hjelpe dem å gjøre det, samt lagt ut flere avbøtende tiltak som de kan utføre.
«Vi se data exfiltration som den største risikoen for CallStranger. Sjekke loggene er kritisk hvis det er noen trussel skuespiller som brukes dette i det siste,» han sa. «Fordi det også kan brukes for DDoS, forventer vi botnett vil begynne å implementere denne nye teknikken ved å konsumere sluttbruker enheter., På grunn av den nyeste UPnP sårbarheter, foretak blokkert Internett-utsatt UPnP-enheter, slik at vi ikke forvente å se port skanning fra Internett Intranett, men Intranett Intranett kan være et problem.»
Leave a Reply