mayo 1, 2021

La falla UPnP expone millones de dispositivos de red a ataques en Internet

Una caricatura muestra a una familia usando múltiples dispositivos de Internet.

Millones de enrutadores, impresoras y otros dispositivos pueden controlarse de forma remota mediante un nuevo ataque que explota un agujero de seguridad en el protocolo de red Universal Plug and Play, dijo un investigador.

CallStranger, como se llamaba el exploit, es muy útil para obligar a una gran cantidad de dispositivos a participar en ataques distribuidos de denegación de servicio o DDoS que abruman a los objetivos de terceros con tráfico basura. CallStranger también se puede utilizar para filtrar datos dentro de las redes, incluso cuando están protegidos por herramientas de prevención de pérdida de datos diseñadas para prevenir tales ataques. El exploit también permite a los atacantes escanear puertos internos que de otro modo serían invisibles porque no están expuestos a Internet.

Miles de millones de enrutadores y otros llamados dispositivos de Internet de las cosas son sensibles a CallStranger, Yunus Çadırcı, un investigador turco que descubrió la vulnerabilidad y escribió el código de ataque de prueba de concepto que lo explota durante el fin de semana. Sin embargo, para que el exploit funcione realmente, un dispositivo vulnerable debe tener UPnP, como se conoce el protocolo, expuesto en Internet. Esta restricción implica que solo una parte de los dispositivos vulnerables es realmente explotable.

Todavía no estoy seguro después de todos estos años.

El protocolo UPnP de 12 años simplifica la actividad de conexión de los dispositivos permitiendo que se encuentren automáticamente en una red. Lo hace mediante el uso de los protocolos HTTP, SOAP y XML para anunciarse y descubrir otros dispositivos en redes que utilizan el protocolo de Internet.

Si bien la automatización puede eliminar la molestia de abrir manualmente puertos de red específicos utilizados por diferentes dispositivos para comunicarse, UPnP ha abierto a los usuarios a través de los años a una variedad de ataques. En 2013, un análisis de Internet descubrió que UPnP estaba haciendo que más de 81 millones de dispositivos fueran visibles para personas fuera de las redes locales. El descubrimiento fue una sorpresa porque el protocolo no debería comunicarse con dispositivos externos. La exhibición fue en gran parte el resultado de varias bibliotecas de códigos comunes que monitorearon todas las interfaces para los paquetes del Protocolo de datagramas de usuario, incluso si se configuraron para escuchar solo en los paquetes internos.

En noviembre de 2018, los investigadores detectaron dos ataques en especie que apuntaban a dispositivos que usaban UPnP. Uno usó una implementación UPnP con errores en los chips Broadcom para engañar a 100,000 enrutadores en una botnet. El otro, utilizado contra 45,000 enrutadores, aprovechó las fallas en una implementación UPnP diferente para abrir puertas que fueron fundamentales para la propagación de EternalRed y EternalBlue, el poderoso ataque de Windows desarrollado y posteriormente robado por la NSA.

Suscríbase ahora

CallStranger permite que un usuario remoto y no autenticado interactúe con dispositivos que solo deberían ser accesibles dentro de las redes locales. Un uso para el exploit es dirigir grandes cantidades de tráfico basura a destinos de elección del atacante. Dado que la salida enviada a los objetivos designados por el atacante es mucho mayor que la solicitud iniciada por el atacante, CallStranger proporciona una forma particularmente poderosa de amplificar los recursos del atacante. Otras características incluyen la enumeración de todos los demás dispositivos UPnP en la red local y la exfiltración de datos almacenados en la red, en algunos casos incluso si están protegidos por herramientas de prevención de pérdida de datos.

La vulnerabilidad se detecta como CVE-2021-12695 y las advertencias están aquí y aquí. Çadırcı ha lanzado un script de PoC que demuestra las capacidades de CallStranger aquí.

El exploit funciona al abusar de la función UPnP SUBSCRIBE, que los dispositivos usan para recibir notificaciones de otros dispositivos cuando ocurren ciertos eventos, como reproducir un video o una pista de música. Específicamente, CallStranger envía solicitudes de suscripción que falsifican la URL que debe recibir la «devolución de llamada» resultante.

Para ejecutar DDoSes, CallStranger envía un aluvión de solicitudes de suscripción que falsifican la dirección de un sitio de terceros en Internet. Cuando el ataque se realiza al unísono con otros dispositivos, las largas devoluciones de llamada bombardean el sitio con un torrente de tráfico basura. En otros casos, la URL que recibe la devolución de llamada apunta a un dispositivo dentro de la red interna. Las respuestas pueden crear una condición similar a la falsificación de una solicitud del lado del servidor, que permite a los atacantes piratear dispositivos internos detrás de los firewalls de la red.

Los dispositivos que Çadırcı ha confirmado que son vulnerables son:

  • Windows 10 (probablemente todas las versiones de Windows, incluidos los servidores) – upnphost.dll 10.0.18362.719
  • Xbox One – Sistema operativo versión 10.0.19041.2494
  • ADB TNR-5720SX box (TNR-5720SX / v16.4-rc-371-gf5e2289 UPnP / 1.0 BH-upnpdev / 2.0)
  • Asus ASUS Media Streamer
  • Asus Rt-N11
  • BelkinWeMo
  • Módem ADSL Broadcom
  • Impresora Canon SELPHY CP1200 Canon
  • Cisco X1000 – (LINUX / 2.4 UPnP / 1.0 BRCM400 / 1.0)
  • Cisco X3500 – (LINUX / 2.4 UPnP / 1.0 BRCM400 / 1.0)
  • Enrutador D-Link DVG-N5412SP WPS (OS 1.0 UPnP / 1.0 Realtek / V1.3)
  • EPSON EP, EW, XP Series (EPSON_Linux UPnP / 1.0 Epson UPnP SDK / 1.0)
  • HP Deskjet, Photosmart, Officejet ENVY Series (POSIX, UPnP / 1.0, Intel MicroStack / 1.0.1347)
  • Huawei Router HG255s – Firmware HG255sC163B03 (ATP UPnP Core)
  • Router NEC AccessTechnica WR8165N (OS 1.0 UPnP / 1.0 Realtek / V1.3)
  • 2k14MTK Philips TV firmware TPL161E_012.003.039.001
  • Televisor Samsung UE55MU7000 – Firmware T-KTMDEUC-1280.5, BT – S
  • Televisor Samsung MU8000
  • TP-Link TL-WA801ND (Linux / 2.6.36, UPnP / 1.0, SDK portátil para dispositivos UPnP / 1.6.19)
  • Trendnet TV-IP551W (OS 1.0 UPnP / 1.0 Realtek / V1.3)
  • Zyxel VMG8324-B10A (LINUX / 2.6 UPnP / 1.0 BRCM400-UPnP / 1.0)

Çadırcı informó sus resultados a la Open Connectivity Foundation, que mantiene el protocolo UPnP, y la fundación ha actualizado las especificaciones subyacentes para corregir el defecto. Los usuarios pueden consultar con los desarrolladores y fabricantes para averiguar si habrá un parche disponible o cuándo. Un porcentaje significativo de dispositivos IoT nunca recibe actualizaciones de los fabricantes, lo que significa que la vulnerabilidad sobrevivirá durante algún tiempo.

Como siempre, la mejor defensa es garantizar que los dispositivos no tengan UPnP expuesto a Internet. Los usuarios UPnP experimentados y experimentados también pueden verificar periódicamente los registros para detectar vulnerabilidades.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *