Un error UPnP expuso millones de dispositivos de red a ataques a través de Internet

Millones de enrutadores, impresoras y otros dispositivos pueden controlarse de forma remota mediante un nuevo ataque que explota una vulnerabilidad en el protocolo de red Universal Plug and Play, dijo un investigador

es CallStranger, como se llamó el exploit Es más útil para obligar a una gran cantidad de dispositivos a participar en ataques de denegación de servicio distribuido (DDoS) que abruman a los objetivos de terceros con tráfico basura. CallStranger también se puede usar para filtrar datos a través de redes, incluso si está protegido por herramientas de prevención de pérdida de datos diseñadas para prevenir tales ataques. El exploit también permite a los piratas informáticos escanear puertos internos que de otro modo serían invisibles porque no están expuestos a Internet.

Miles de millones de enrutadores y otros llamados dispositivos de Internet de las cosas son vulnerables a CallStranger, Yunus Çadırcı, un investigador turco que descubrió la vulnerabilidad y escribió el código de ataque de prueba de concepto que lo explotó, escribió sobre el fin de semana. Para que el exploit funcione realmente, UPnP, como se llama el protocolo, debe estar disponible en Internet en un dispositivo vulnerable. Esta limitación significa que solo se puede usar una fracción de los dispositivos vulnerables.

Todavía incierto después de todos estos años.

El protocolo UPnP de 12 años simplifica la conexión de dispositivos al permitir que se encuentren automáticamente en una red. Los protocolos HTTP, SOAP y XML se utilizan para anunciar y reconocer otros dispositivos a través de redes que usan el protocolo de Internet.

Si bien la automatización puede eliminar la molestia de abrir manualmente ciertos puertos de red a través de los cuales se comunican varios dispositivos, UPnP ha abierto a los usuarios a una variedad de ataques a lo largo de los años. En 2013, un análisis en Internet reveló que UPnP hizo que más de 81 millones de dispositivos fueran visibles para personas fuera de las redes locales. El resultado fue una sorpresa ya que el protocolo no debería comunicarse con dispositivos externos. La exposición fue en gran parte el resultado de varias bibliotecas de códigos populares que monitorearon todas las interfaces en los paquetes del Protocolo de datagramas de usuario, incluso si se configuraron para escuchar solo los paquetes internos.

En noviembre de 2018, los investigadores descubrieron dos ataques en la naturaleza en dispositivos que utilizan UPnP. Se utilizó una implementación UPnP defectuosa en chips Broadcom para convertir 100,000 enrutadores en una botnet. El otro, que se usó contra 45,000 enrutadores, explotó errores en otra implementación UPnP para abrir puertos que fueron fundamentales para difundir EternalRed y EternalBlue, el poderoso ataque de Windows desarrollado por la NSA y luego robado .

Suscríbase ahora

Con CallStranger, un usuario remoto y no autenticado puede interactuar con dispositivos a los que solo se puede acceder en las redes locales. Un uso para el exploit es enrutar grandes cantidades de tráfico basura a objetivos a elección del atacante. Debido a que la salida enviada a los objetivos del atacante es mucho mayor que la solicitud del atacante, CallStranger proporciona una forma particularmente poderosa de expandir los recursos del atacante. Otras funciones incluyen enumerar todos los demás dispositivos UPnP en la red local y extraer datos almacenados en la red, en algunos casos incluso si están protegidos por herramientas para evitar la pérdida de datos.

La vulnerabilidad se rastrea aquí y aquí como CVE-2020-12695. Çadırcı ha publicado un script PoC aquí que demuestra las funciones de CallStranger.

El exploit está explotando la función SUSCRIBIRSE UPnP, que permite a los dispositivos recibir notificaciones de otros dispositivos cuando ocurren ciertos eventos, como reproducir un video o una pista de música. suceder. En particular, CallStranger envía solicitudes de suscripción que falsifican la URL que recibirá la "devolución de llamada" resultante.

Para realizar DDoSes, CallStranger envía una serie de solicitudes de suscripción que falsifican la dirección de un sitio web de terceros en Internet. Si el ataque se ejecuta al unísono con otros dispositivos, las largas devoluciones de llamada bombardean el sitio con una corriente de tráfico basura. En otros casos, la URL que recibe la devolución de llamada apunta a un dispositivo en la red interna. Las respuestas pueden crear una condición que se asemeja a la falsificación de solicitudes del lado del servidor y permite a los atacantes piratear dispositivos internos que se encuentran detrás de los firewalls de la red.

Los siguientes dispositivos fueron confirmados por Çadırcı como vulnerables:

• Windows 10 (probablemente todas las versiones de Windows, incluido el servidor) – upnphost.dll 10.0.18362.719
• Xbox One-OS versión 10.0.19041.2494
• ADB TNR-5720SX -Box (TNR-5720SX / v16.4-rc-371-gf5e2289 UPnP / 1.0 BH-upnpdev /2.0)[19659014lightboxesAsusASUSMediaStreamer[19659014[AsusRt-N11
• BelkinWeMo
• Modicon Canon ADSL Impresora SELPHY CP1200
• Cisco X1000 – (LINUX / 2.4 UPnP / 1.0 BRCM400 1.0)
• Cisco X3500 – (LINUX / 2.4 UPnP / 1.0 BRCM400 / 1.0)
• D-Link DVG-N5412SP enrutador WPS ( OS 1.0 UPnP / 1.0 Realtek / V1.3)
• EPSON EP, EW, XP series (EPSON_Linux UPnP / 1.0 Epson UPnP SDK / 1.0)
• HP Deskjet, Photosmart, Officejet ENVY series (POSIX, UPnP / 1.0, Intel MicroStack / 1.0.1347)
• Enrutador Huawei HG255s – Fi rmware HG255sC163B03 (ATP UPnP Core)
• Enrutador NEC AccessTechnica WR8165N (OS 1.0 UPnP / 1.0 Real tek / V1.3)
• Firmware de TV Philips 2k14MTK TPL161E_012.003.039.001
• Samsung UE55M7 1280.5, BT – S
• TV Samsung MU8000
• TP-Link TL-WA801ND (Linux / 2.6.36 , UPnP / 1.0, SDK portátil para dispositivos UPnP / 1.6.19)
• Trendnet TV-IP551W (OS 1.0 UPnP / 1.0 Realtek / V1.3)
• Zyxel VMG8324-B10A (LINUX / 2.6 UPnP / 1.0 BRCM400 -UPnP / 1.0)

Çadırcı informó sus resultados a la Open Connectivity Foundation, que administra el protocolo UPnP, y la fundación actualizó la especificación subyacente para abordar el problema. Los usuarios pueden preguntar a los desarrolladores y fabricantes si hay un parche disponible o cuándo lo estará. Un porcentaje significativo de dispositivos IoT nunca recibe actualizaciones de los fabricantes, lo que significa que la vulnerabilidad permanecerá por algún tiempo.

Como siempre, la mejor defensa es garantizar que UPnP no esté expuesto a Internet en los dispositivos. Los usuarios de UPnP con esta experiencia y capacidad también pueden revisar periódicamente los registros para detectar exploits.