Исследователь: дефекты UPnP вызывают миллионы сетевых устройств для удаленных атак

Tens миллионов сетевых устройств, включая маршрутизаторы, принтеры, медиа-серверы, IP-камеры, интеллектуальные телевизоры и многое другое, могут быть атакованы через Интернет из-за опасных недостатков в реализации стандарта протокола UPnP (Universal Plug and Play), исследователей безопасности из Rapid7 сказал во вторник в исследовательском документе.

UPnP позволяет сетевым устройствам обнаруживать друг друга и автоматически устанавливать рабочие конфигурации, которые обеспечивают совместное использование данных, потоковое мультимедиа, медиа p контроль за выполнением заказов и другие услуги. В одном распространенном сценарии приложение для обмена файлами, работающее на компьютере, может сообщить маршрутизатору через UPnP об открытии определенного порта и сопоставить его с локальным сетевым адресом компьютера, чтобы открыть службу обмена файлами для пользователей Интернета.

UPnP предназначен для использования в основном внутри локальных сетей. Однако исследователи безопасности из Rapid7 обнаружили более 80 миллионов уникальных публичных IP-адресов (Internet Protocol), которые ответили на запросы обнаружения UPnP через Интернет во время сканирования, выполненного в прошлом году с июня по ноябрь.

[Дополнительная информация: Как удалить вредоносное ПО из ваш ПК с Windows]

Кроме того, они обнаружили, что 20 процентов, или 17 миллионов, этих IP-адресов соответствуют устройствам, которые подвергали услугу UPnP SOAP (Simple Object Access Protocol) в Интернете. Эта служба может позволить злоумышленникам настроить таргетинг на системы, находящиеся за брандмауэром, и предоставляет конфиденциальную информацию о них, сказали исследователи Rapid7.

На основе ответов об обнаружении UPnP исследователи смогли отпечатать уникальные устройства и узнать, какую библиотеку UPnP они используют. Они обнаружили, что более четверти из них имели UPnP, реализованный через библиотеку под названием Portable UPnP SDK.

В Portable SDK UPnP обнаружены восемь удаленных уязвимостей, в том числе два, которые могут использоваться для удаленного выполнения кода, говорят исследователи.

«Уязвимости, обнаруженные нами в Portable UPnP SDK, были исправлены с версии 1.6.18 (выпущена сегодня), но каждый разработчик приложений и устройств включит этот патч в свои продукты, «HD Moore, главный сотрудник службы безопасности Rapid7, заявил во вторник в блоге.

Более 23 миллионов IP-адресов от тех, которые были обнаружены во время сканирования, соответствуют устройствам, которые могут быть скомпрометированы с помощью уязвимостей Portable UPnP SDK, отправив один специально созданный UDP-пакет для них, согласно Moore.

Дополнительные уязвимости, в том числе те, которые могут использоваться при атаке отказа в обслуживании и удалении от удаленных кодов, также существуют в библиотеке UPnP ca lled MiniUPnP. Несмотря на то, что эти уязвимости были рассмотрены в версиях MiniUPnP, выпущенных в 2008 и 2009 годах, 14 процентов интернет-устройств UPnP использовали уязвимую версию MiniUPnP 1.0, сказали исследователи Rapid7.

Другие проблемы были выявлены в последней версии MiniUPnP, 1.4, но они не будут публично раскрыты до тех пор, пока разработчик библиотеки не выпустит патч для их решения.

«Все сказали, что мы смогли идентифицировать более 6 900 версий продуктов, которые были уязвимы через UPnP», - сказал Мур. «Этот список включает в себя более 1500 поставщиков и учитывает устройства, которые отображают сервис UPnP SOAP в Интернете, что является серьезной уязвимостью и само по себе».

Rapid7 опубликовала три отдельных списка продуктов, уязвимых для уязвимостей Portable UPnP SDK, MiniUPnP недостатки и которые выставляют службу UPnP SOAP в Интернет.

Belkin, Cisco, Netgear, D-Link и Asus, все из которых имеют уязвимые устройства в соответствии со списками, опубликованными Rapid7, не сразу отвечали на запросы для комментариев, отправленных во вторник.

Мур считает, что в большинстве случаев сетевые устройства, которые больше не являются продается не будет обновляться и будет оставаться открытым для удаленных атак неограниченно, если их владельцы вручную не отключат функциональность UPnP или не заменят их.

«Эти данные доказывают, что слишком многие поставщики до сих пор не изучили основы проектирования устройств, надежную и надежную конфигурацию », - сказал Томас Кристенсен (Thomas Kristensen), главный сотрудник службы безопасности по исследованиям и управлению уязвимостями Secunia. «Устройства, предназначенные для прямых подключений к Интернету, по умолчанию не должны запускать какие-либо службы на своих общедоступных интерфейсах, особенно не такие сервисы, как UPnP, которые предназначены исключительно для локальных« надежных »сетей».

Кристенсен считает, что многие уязвимые устройства скорее всего, останутся незагруженными до тех пор, пока они не будут заменены, даже если их производители выпустят обновления прошивки.

Многие пользователи ПК даже не обновляют программное обеспечение для ПК, которое они часто используют и знакомы, сказал он. По его словам, задача поиска веб-интерфейса уязвимого сетевого устройства, получения обновления прошивки и прохождения всего процесса обновления будет слишком запугивать для многих пользователей.

В исследовательском документе Rapid7 содержатся рекомендации по безопасности для поставщиков интернет-услуг, предприятиям и домашним пользователям.

Провайдерам было предложено перенаправить обновления конфигурации или обновления прошивки на абонентские устройства, чтобы отключить возможности UPnP или заменить эти устройства другими, настроенными безопасным образом, и не подвергать UPnP воздействию Интернет.

«Домашние и мобильные пользователи ПК должны обеспечить, чтобы функция UPnP на домашних маршрутизаторах и мобильных широкополосных устройствах была отключена», - сказали исследователи.

Кроме того, чтобы убедиться, что внешнее устройство не предоставляет UPnP в Интернете компаниям рекомендуется провести тщательный анализ потенциального воздействия на безопасность всех устройств, поддерживающих UPnP, обнаруженных в их сетях, - сетевых принтеров, IP-камер, системы хранения данных и т. д. - и рассмотрите сегментирование их из внутренней сети до тех пор, пока от производителя не появится обновление прошивки.

Rapid7 выпустил бесплатный инструмент под названием ScanNow для Universal Plug and Play, а также модуль для платформы тестирования проникновения Metasploit, который может использоваться для обнаружения уязвимых служб UPnP, работающих внутри сети.

Обновлено в 13:45 PT, чтобы исправить дату отправки запросов для комментариев компаниям с уязвимыми устройствами.