Уязвимост в UPnP, подходяща за усилване на DDoS атаки и сканиране на вътрешни мрежи

Разкрити информация за уязвимости (CVE-2020-12695) в протокола UPnP, което позволява да се организира изпращането на трафик до произволен получател, използвайки операцията "SUBSCRIBE" предвидена в стандарта. Уязвимостта е получила кодовото име CallStranger. Уязвимостта може да се използва за извличане на данни от мрежи, защитени с системи за предотвратяване на изтичане на данни (DLP), за сканиране на портове на компютри в вътрешна мрежа, а също така и за усилване на DDoS атаки с помощта на милиони устройства, свързани към глобалната мрежа UPnP, като кабелни модеми, домашни рутери, игрови конзоли, IP камери, TV приставки, медийни центрове и принтери.

Проблема беше причинена Проблемът е, че предвидената във спецификацията функция "SUBSCRIBE" позволява на всеки външен атакуващ да изпраща HTTP пакети с заглавие Callback и да използва UPnP устройство като прокси за изпращане на заявки към други хостове. Функцията "SUBSCRIBE" е определена в спецификацията UPnP и се използва за проследяване на промени в други устройства и услуги. С помощта на HTTP заглавието Callback може да се определи произволен URL, към който устройството ще се опита да се свърже.

Податливи на проблема са почти всички реализации на UPnP, основани на спецификации, издадени преди 17 април. Включително наличието на уязвимост е потвърдено в открит пакет hostapd с реализация на безжична точка за достъп (WPS AP). Поправката все още е налична под формата на пачове. В дистрибутивите все още не са издадени актуализации (Debian, OpenWRT, Ubuntu, RHEL, SUSE, Fedora, Arch). Проблемът също така засяга индикаторни решения на база отворен UPnP стек pupnp, информация за които за поправки все още липсва.

Протоколът UPnP определя механизъм за автоматично откритие на устройства в локалната мрежа и взаимодействие с тях. Въпреки това, протоколът е проектиран първоначално за използване в вътрешни локални мрежи и не предвижда никакви форми на удостоверяване и проверка. Въпреки това, милиони устройства не деактивират поддръжката на UPnP на външните мрежови интерфейси и остават достъпни за заявки от глобалната мрежа. Атаката може да бъде извършена чрез всяко такова UPnP устройство.
Например, приставките Xbox One могат да бъдат атакувани през мрежов порт 2869, тъй като позволяват проследяването на промени, като предоставяне на споделен достъп до съдържание чрез команда SUBSCRIBE.

Организация Open Connectivity Foundation (OCF) беше уведомена за проблема в края на миналата година, но в началото отказа да го разглежда като уязвимост в спецификацията. След повторен, по-подробен доклад, наличието на проблема беше признато и в спецификацията беше добавено изискване за използване на UPnP само на LAN интерфейсите. Тъй като проблемът е причинен от недостатъци в стандарта, отстраняването на уязвимостта в отделни устройства може да отнеме много време, а за по-старите устройства актуализации на фърмуера може и да не бъдат налични.

Като обходни решения за защита се препоръчва изолация на UPnP устройствата от външни запитвания чрез защитна стена, блокиране на външни HTTP запитвания "SUBSCRIBE" и "NOTIFY" на системи за предотвратяване на атаки или деактивиране на протокола UPnP на външни мрежови интерфейси. Производителите са посъветвани да деактивират функцията SUBSCRIBE в настройките по подразбиране и да ограничат приемането на запитвания само от вътрешната мрежа при включване.
За тестване на уязвимостта на собствените устройства публикуван специализиран инструментариум, написан на Python и разпространяван под MIT лиценз.

Източник: opennet.ru