Vulnérabilité dans UPnP, adaptée pour renforcer les attaques DDoS et scanner le réseau interne

Dévoilé des informations sur une vulnérabilité (CVE-2020-12695) dans le protocole UPnP, permettant d'organiser l'envoi de trafic à un destinataire arbitraire en utilisant l'opération «SUBSCRIBE» prévue par la norme. Cette vulnérabilité a reçu le nom de code CallStranger. La vulnérabilité peut être exploitée pour extraire des données de réseaux protégés par des systèmes de prévention des fuites de données (DLP), pour organiser des scans de ports des ordinateurs au sein d'un réseau interne, ainsi que pour amplificateur des attaques DDoS à l'aide de millions d'appareils UPnP connectés à Internet, tels que des modems câble, des routeurs domestiques, des consoles de jeux, des caméras IP, des décodeurs TV, des centres multimédias et des imprimantes.

Le problème est causée cela est dû au fait que la fonction «SUBSCRIBE» prévue dans la spécification permet à tout attaquant externe d'envoyer des paquets HTTP avec un en-tête Callback et d'utiliser un dispositif UPnP comme proxy pour envoyer des requêtes à d'autres hôtes. La fonction «SUBSCRIBE» est définie dans la spécification UPnP et est utilisée pour suivre les changements sur d'autres appareils et services. Grâce à l'en-tête HTTP Callback, il est possible de définir une URL arbitraire à laquelle l'appareil tentera de se connecter.

La problématique concerne presque toutes les mises en œuvre de UPnP, basées sur la spécification, publiée avant le 17 avril. Il est notamment confirmé que la vulnérabilité est vérifiée dans un package ouvert hostapd avec une mise en œuvre de point d'accès sans fil (WPS AP). Un correctif est actuellement disponible sous forme de patches. Les mises à jour dans les distributions n'ont pas encore été publiées (Debian, OpenWRT, Ubuntu, RHEL, SUSE, Fedora, Arch). Le problème concerne également touche des solutions basées sur la pile UPnP ouverte pupnp, pour lesquelles aucune information sur des correctifs n'est encore disponible.

Le protocole UPnP définit un mécanisme pour la découverte automatique des appareils sur un réseau local et leur interaction. Ce protocole a été initialement conçu pour une utilisation dans des réseaux locaux internes et ne prévoit pas de forme d'authentification ou de vérification. Malgré cela, des millions d'appareils ne désactivent pas le support UPnP sur leurs interfaces réseau externes et restent accessibles aux requêtes provenant d'Internet. L'attaque peut être réalisée via n'importe quel appareil UPnP de ce type.
Par exemple, les consoles Xbox One peuvent être attaquées via le port réseau 2869, car elles permettent de suivre via la commande SUBSCRIBE des changements tels que le partage de contenu.

L'organisation Open Connectivity Foundation (OCF) a été informée d'un problème à la fin de l'année dernière, mais a d'abord refusé de le considérer comme une vulnérabilité dans la spécification. Après un rapport plus détaillé, la présence du problème a été reconnue et une exigence d'utilisation de UPnP uniquement sur les interfaces LAN a été ajoutée à la spécification. Étant donné que le problème est causé par un défaut dans la norme, la correction de la vulnérabilité sur des dispositifs individuels peut prendre beaucoup de temps, et pour les anciens appareils, des mises à jour du firmware peuvent ne pas être disponibles.

En tant que solutions pour se protéger, il est recommandé d'isoler les appareils UPnP des demandes externes par un pare-feu, de bloquer les requêtes HTTP externes «SUBSCRIBE» et «NOTIFY» dans les systèmes de prévention des attaques, ou de désactiver le protocole UPnP sur les interfaces réseau externes. Il est conseillé aux fabricants de désactiver la fonction SUBSCRIBE dans les paramètres par défaut et de limiter son activation uniquement aux requêtes venant du réseau interne.
Pour tester la vulnérabilité de vos appareils publiée un outil spécialement conçu, écrit en Python et distribué sous licence MIT.

Source : opennet.ru