Athari katika UPnP inayofaa kwa ukuzaji wa mashambulizi ya DDoS na utambazaji wa mitandao ya ndani

Imefichuliwa habari kuhusu udhaifu (CVE-2020-12695) katika itifaki ya UPnP, ambayo hukuruhusu kupanga utumaji wa trafiki kwa mpokeaji wa kiholela kwa kutumia operesheni ya "SUBSCRIBE" iliyotolewa katika kiwango. Athari ya kuathiriwa imepewa jina la msimbo Piga simu Mgeni. Athari hii inaweza kutumika kutoa data kutoka kwa mitandao inayolindwa na mifumo ya kuzuia upotezaji wa data (DLP), kuandaa utambazaji wa milango ya kompyuta kwenye mtandao wa ndani, na pia kuimarisha mashambulizi ya DDoS kwa kutumia mamilioni ya vifaa vya UPnP vilivyounganishwa kwenye mtandao wa kimataifa, kama vile kebo. modemu, vipanga njia vya nyumbani , koni za mchezo, kamera za IP, visanduku vya juu vya TV, vituo vya media na vichapishaji.

tatizo iliyosababishwa kwa kuwa kitendakazi cha "SUBSCRIBE" kilichotolewa katika vipimo huruhusu mvamizi yeyote wa nje kutuma pakiti za HTTP zenye kichwa cha Backback na kutumia kifaa cha UPnP kama proksi kutuma maombi kwa wapangishaji wengine. Chaguo za "SUBSCRIBE" zimefafanuliwa katika vipimo vya UPnP na hutumika kufuatilia mabadiliko katika vifaa na huduma zingine. Kwa kutumia kichwa cha Callback HTTP, unaweza kufafanua URL kiholela ambayo kifaa kitajaribu kuunganisha.

Takriban utekelezaji wote wa UPnP kulingana na vipimo, iliyotolewa hadi Aprili 17. Ikiwa ni pamoja na uwepo wa udhaifu imethibitishwa katika mfuko wazi mwenyeji na utekelezaji wa kituo cha ufikiaji kisichotumia waya (WPS AP). Marekebisho kwa sasa yanapatikana kama mabaka. Masasisho bado hayajatolewa katika usambazaji (Debian, OpenWRT, Ubuntu, RHEL, SUSA, Fedora, Arch) Tatizo pia ni huathiri suluhisho kulingana na stack ya UPnP iliyofunguliwa pupnp, ambayo bado hakuna maelezo ya kurekebisha.

Itifaki ya UPnP inafafanua utaratibu wa kugundua kiotomatiki na kuwasiliana na vifaa kwenye mtandao wa ndani. Hata hivyo, itifaki hiyo iliundwa awali kwa matumizi katika mitandao ya ndani ya ndani na haitoi njia zozote za uthibitishaji na uthibitishaji. Licha ya hili, mamilioni ya vifaa havizima usaidizi wa UPnP kwenye miingiliano ya nje ya mtandao na kubaki inapatikana kwa maombi kutoka kwa mtandao wa kimataifa. Shambulio linaweza kufanywa kupitia kifaa chochote kama hicho cha UPnP.
Kwa mfano, dashibodi za Xbox One zinaweza kushambuliwa kupitia lango la mtandao 2869 kwa sababu huruhusu mabadiliko kama vile kushiriki maudhui yafuatiliwe kupitia amri ya SUBSCRIBE.

Wakfu wa Open Connectivity (OCF) uliarifiwa kuhusu suala hilo mwishoni mwa mwaka jana, lakini awali lilikataa kulichukulia kama udhaifu katika vipimo. Baada ya kurudia ripoti ya kina zaidi, tatizo lilitambuliwa na hitaji la kutumia UPnP pekee kwenye violesura vya LAN liliongezwa kwenye vipimo. Kwa kuwa tatizo linasababishwa na hitilafu katika kiwango, inaweza kuchukua muda mrefu kurekebisha udhaifu katika vifaa vya mtu binafsi, na sasisho za firmware zinaweza kuonekana kwa vifaa vya zamani.

Kama njia za usalama, inashauriwa kutenga vifaa vya UPnP kutoka kwa maombi ya nje kwa kutumia ngome, kuzuia maombi ya nje ya HTTP "SUBSCRIBE" na "TAARIFA" kwenye mifumo ya kuzuia mashambulizi, au kuzima itifaki ya UPnP kwenye violesura vya nje vya mtandao. Watengenezaji wanapendekezwa kuzima kipengele cha SUBSCRIBE katika mipangilio chaguo-msingi na kiweke kikomo cha kukubali maombi kutoka kwa mtandao wa ndani pekee kinapowashwa.
Ili kupima uwezekano wa kuathirika kwa kifaa chako iliyochapishwa zana maalum iliyoandikwa kwa Python na kusambazwa chini ya leseni ya MIT.

Chanzo: opennet.ru