Sicherheitsanfälligkeit in UPnP, die zur Verstärkung von DDoS-Angriffen und zum Scannen interner Netzwerke geeignet ist.

Entdeckt Information über Sicherheitsanfälligkeiten (CVE-2020-12695) im UPnP-Protokoll, das die Übertragung von Daten an beliebige Empfänger ermöglicht, indem die im Standard vorgesehene Operation «SUBSCRIBE» verwendet wird. Der Schwachstelle wurde der Codename CallStranger. Diese Schwachstelle kann verwendet werden, um Daten aus Netzwerken, die durch Datenverlustschutzsysteme (DLP) gesichert sind, zu extrahieren, Portscans von Computern im internen Netzwerk durchzuführen und DDoS-Attacken durch Millionen von weltweit mit UPnP verbundenen Geräten wie Kabelmodems, Heimroutern, Spielkonsolen, IP-Kameras, TV-Boxen, Mediacentern und Druckern zu verstärken.

Das Problem durch damit externe Angreifer HTTP-Pakete mit dem Header Callback senden und das UPnP-Gerät als Proxy verwenden können, um Anfragen an andere Hosts zu senden. Die Funktion «SUBSCRIBE» ist in der UPnP-Spezifikation definiert und wird verwendet, um Änderungen an anderen Geräten und Diensten zu überwachen. Mithilfe des HTTP-Headers Callback kann eine beliebige URL festgelegt werden, über die das Gerät eine Verbindungsanfrage zu stellen versucht.

Fast alle Implementierungen von UPnP sind betroffen, die auf Spezifikationen, die vor dem 17. April veröffentlicht wurden. Dazu gehört die Schwachstelle bestätigt im öffentlichen Paket hostapd mit Implementierung des drahtlosen Zugangspunkts (WPS AP). Ein Patch ist bisher verfügbar als von Patches. In den Distributionen wurden bisher keine Updates veröffentlicht (Debian, OpenWRT, Ubuntu, RHEL, SUSE, , aber bisher ist er noch nicht in, Arch). Das Problem betrifft auch Bluetooth-Stack und hängt mit der fehlerhaften Verarbeitung der Berechtigung BLUETOOTH_PRIVILEGED bei setPhonebookAccessPermission zusammen. Bei den als gefährlich eingestuften Schwachstellen wurden 7 Probleme in Frameworks und Anwendungen, 4 in Systemkomponenten, 2 im Kernel und 10 in offenen und proprietären Komponenten für Qualcomm-Chips behoben. Lösungen auf Basis des offenen UPnP-Stacks pupnp, für die es bisher keine Informationen zu Patches gibt.

Das UPnP-Protokoll definiert einen Mechanismus zur automatischen Erkennung von Geräten im lokalen Netzwerk und deren Interaktion. Es wurde ursprünglich für die Verwendung in internen Netzwerken konzipiert und sieht keine Formen der Authentifizierung und Validierung vor. Trotzdem deaktivieren Millionen von Geräten die Unterstützung von UPnP an externen Netzwerkoberflächen nicht und bleiben zugänglich für Anfragen aus dem globalen Netz. Ein Angriff kann durch jedes ähnliche UPnP-Gerät erfolgen.
Zum Beispiel können Xbox One-Konsolen über den Netzwerkport 2869 angegriffen werden, da sie es ermöglichen, über den Befehl SUBSCRIBE solche Änderungen zu verfolgen, wie die Bereitstellung von gemeinsamem Zugriff auf Inhalte.

Die Open Connectivity Foundation (OCF) wurde Ende letzten Jahres über das Problem informiert, wies jedoch zunächst darauf hin, dass es sich nicht um eine Schwachstelle in der Spezifikation handele. Nach einem detaillierteren Bericht wurde das Vorliegen des Problems anerkannt, und es wurde eine Vorgabe zur Verwendung von UPnP ausschließlich auf LAN-Schnittstellen in die Spezifikation aufgenommen. Da das Problem auf einen Mangel im Standard zurückzuführen ist, kann es viel Zeit in Anspruch nehmen, um die Schwachstelle in einzelnen Geräten zu beheben, und bei älteren Geräten sind möglicherweise keine Firmware-Updates verfügbar.

Als Schutzmaßnahmen wird empfohlen, UPnP-Geräte mithilfe einer Firewall von externen Anfragen zu isolieren, externe HTTP-Anfragen „SUBSCRIBE“ und „NOTIFY“ auf Intrusion-Prevention-Systemen zu blockieren oder das UPnP-Protokoll auf externen Netzwerkschnittstellen zu deaktivieren. Herstellern wird empfohlen, die Funktion SUBSCRIBE in den Standardeinstellungen zu deaktivieren und den Empfang von Anfragen aus dem internen Netzwerk beim Aktivieren zu beschränken.
Um die Anfälligkeit ihrer Geräte zu testen veröffentlicht ein spezielles Werkzeug, geschrieben in Python und unter der MIT-Lizenz veröffentlicht.

Quelle: opennet.ru