informazioni su () nel protocollo UPnP, che consente di inviare traffico a un destinatario arbitrario, utilizzando l'operazione «SUBSCRIBE» prevista dallo standard. La vulnerabilità è stata assegnata il nome in codice . La vulnerabilità può essere utilizzata per estrarre dati da reti protette da sistemi di prevenzione delle perdite di dati (DLP), per organizzare la scansione delle porte dei computer nella rete interna, oltre che per potenziare attacchi DDoS attraverso milioni di dispositivi UPnP connessi alla rete globale, come modem via cavo, router domestici, console di gioco, telecamere IP, set-top box, media center e stampanti.
Problema ciò che la funzione «SUBSCRIBE» prevista nella specifica consente a qualsiasi attaccante esterno di inviare pacchetti HTTP con l'intestazione Callback e di utilizzare il dispositivo UPnP come proxy per inviare richieste ad altri host. La funzione «SUBSCRIBE» è definita nella specifica UPnP ed è utilizzata per monitorare le modifiche in altri dispositivi e servizi. Attraverso l'intestazione HTTP Callback è possibile definire un URL arbitrario al quale il dispositivo tenterà di connettersi.
La problematica riguarda quasi tutte le implementazioni di UPnP basate su , rilasciate prima del 17 aprile. Inclusa la presenza della vulnerabilità nel pacchetto aperto con implementazione della rete wireless (WPS AP). La correzione è attualmente disponibile sotto forma di . Negli aggiornamenti delle distribuzioni non sono ancora state rilasciate (, , , , , , ). Il problema riguarda anche soluzioni basate su un stack UPnP aperto , per il quale non ci sono attualmente informazioni sulle correzioni.
Il protocollo UPnP definisce un meccanismo per la scoperta automatica dei dispositivi nella rete locale e per l'interazione con essi. Questo protocollo è stato originariamente progettato per l'uso nelle reti locali interne e non prevede alcuna forma di autenticazione e verifica. Nonostante ciò, milioni di dispositivi non disabilitano il supporto UPnP sulle interfacce di rete esterne e per le richieste dalla rete globale. Un attacco può essere effettuato attraverso qualsiasi dispositivo UPnP simile.
Ad esempio, le console Xbox One possono essere attaccate tramite la porta di rete 2869, poiché consentono di monitorare tramite il comando SUBSCRIBE tali cambiamenti come la condivisione di contenuti.
L'organizzazione Open Connectivity Foundation (OCF) è stata informata del problema alla fine dello scorso anno, ma inizialmente ha rifiutato di considerarlo una vulnerabilità nella specifica. Dopo una successiva comunicazione più dettagliata, la presenza del problema è stata riconosciuta e nella specifica è stata aggiunta una raccomandazione per utilizzare UPnP solo sulle interfacce LAN. Poiché il problema è causato da un difetto nella norma, la correzione delle vulnerabilità in singoli dispositivi potrebbe richiedere molto tempo e per i dispositivi più vecchi potrebbero non essere disponibili aggiornamenti del firmware.
Come soluzioni per la protezione, si raccomanda di isolare i dispositivi UPnP dalle richieste esterne tramite un firewall, bloccare le richieste HTTP esterne "SUBSCRIBE" e "NOTIFY" sui sistemi di prevenzione degli attacchi o disabilitare il protocollo UPnP sulle interfacce di rete esterne. Ai produttori è consigliato disabilitare la funzione SUBSCRIBE nelle impostazioni predefinite e limitare l'accettazione delle richieste solo provenienti dalla rete interna.
Per testare l'esposizione dei propri dispositivi alla vulnerabilità uno strumento speciale, scritto in linguaggio Python e rilasciato con licenza MIT.
Fonte: opennet.ru
