Zastavit nás, pokud jste to slyšel předtím, ale výzkumník se objevila nová bezpečnostní chyba ovlivňuje mnoho zařízení se systémem Universal Plug and Play (UPnP) protokolu.
pojmenovaný CallStranger od objevitele Yunus Çadırcı, potenciál potíží s touto vadou vypadá významně z celé nabídky důvodů, počínaje gotcha, že je UPnP.,
UPnP byl vynalezen zpět v mlhách času, aby štěp myšlenka plug-and-play na spletitý svět z domácí sítě.
UPnP znamenalo, že uživatelé nemuseli vědět, jak nastavit router porty – pokud zařízení a domácí router podporoval UPnP (často ve výchozím nastavení zapnuta), připojení se stalo automagicky.
ale UPnP také umožnil stále více zařízení uvnitř sítě připojit se k externím subjektům na internetu bez autentizace, což je místo, kde začaly potíže.,
Zadejte CallStranger (CVE-2020-12695), technicky chyby v UPnP je ODEBÍRAT funkce, která umožňuje co Çadırcı popisuje jako „Server Side Request Forgery (SSRF)-jako zranitelnost.“
útočník schopen zneužít tuto chybu mohl používat to, aby co-opt zranitelných zařízení pro DDoS útoky, bypass prevenci ztráty dat zabezpečení propašovat údajů ze sítí a popřípadě provádět skenování portů je sonda vystavena UPnP zařízení.
která zařízení jsou ovlivněna?,
potenciálně velký počet zařízení s povoleným UPnP, který zahrnuje domácí směrovače, modemy, chytré televizory, tiskárny, kamery a mediální brány. Bylo také povoleno na mnoha produktech, které by se mohly volně nazývat Internet of Things (IoT), stejně jako hlavní operační systémy, jako je Windows 10, a dokonce i herní konzole Xbox.
seznam známých a podezřelých zranitelných zařízení je k dispozici na CallStranger propagace webové stránky, ale to by bylo moudré, ne předpokládat, že to je definitivní (skript je k dispozici k průzkumu sítě pro zranitelné zařízení).,
jeden UPnP stack, který není ovlivněn, je MiniUPnP, který se používá v značném kusu domácích směrovačů. Problém je, že to není snadné říct, které zařízení použít a které ne.
Windows 10 1903 postavit 10.0.18362.719 je řekl, aby byl zranitelný, což pro spotřebitele by byly aktualizovány na 10.0.18363.836 v Květnu.
Çadırcı hlásil chybu do skupiny, která vypadá po UPnP, Otevřít Připojení Foundation (OCF), v prosinci, a říká, že je od poslal a dostal stovky e-mailů jako součást úsilí koordinovat dodavatele reakci.,
OCF aktualizovala specifikaci UPnP dne 17. dubna, což znamená, že zařízení navržená poté by neměla být vůči problému zranitelná. Çadırcı říká:
Domácí uživatele se nepředpokládá cílené přímo. Pokud mají jejich internetová zařízení koncové body UPnP, mohou být jejich zařízení použita pro zdroj DDoS.
nicméně miliardy zařízení UPnP budou stále muset být opraveny., V některých případech se to stane, ale nezadržujte dech; mnoho zranitelných zařízení pravděpodobně nikdy neobdrží aktualizaci nebo obdrží aktualizaci, která nebude použita.
proto je důležité problém zmírnit alespoň vypnutím UPnP, pokud se nepoužívá, něco nahého zabezpečení doporučilo po předchozích UPnP děsí. Jak to uživatelé dělají, se bude lišit od zařízení k zařízení, ale pro směrovače bude nastavení pohřbeno někde v nastavení webového rozhraní.,
Ty zahrnují UPnProxy útok na routery odhalili podle Akamai v roce 2018, Obsahují (aka QakBot/QBot) malware v roce 2017, a HD Moore Odpojte nehraj zranitelností v roce 2013 (poslední ozvěnou neblaze proslulý Conficker worm z roku 2008).