Dispositivos UPnP en riesgo de ataques
Existen múltiples reportes sobre un nuevo vector de ataque mediante archivos SWF
maliciosos (películas de Shockwave Flash), que tiene como objetivo dispositivos de
redes que soportan UPnP (Universal Plug and Play). Esto incluye muchos routers
utilizados hoy día.
El servicio "Universal Plug and Play" (UPnP), es una colección de
protocolos que permiten el reconocimiento y conexión de diferentes dispositivos a la
red, incluso inalámbricos, y aún cuando la misma no esté configurada.
Básicamente UPnP obtiene la información del nuevo hardware que puede ser
detectado e instalado, sin necesidad de una conexión física con la computadora que
lo utiliza, mientras informa de sus funciones y capacidades de procesamiento a los
demás.
Está diseñado para permitir que dispositivos de redes puedan conectarse fácilmente
unos con otros. Un dispositivo con UPnP activado, puede controlar otros dispositivos
UPnP que estén habilitados, tales como cortafuegos y routers, de forma automática
y sin autenticación.
Algunas aplicaciones pueden utilizar UPnP para abrir automáticamente puertos en
routers, o modificar otros parámetros en dispositivos compatibles.
Múltiples vendedores sacan sus productos con UPnP habilitado por defecto. Estos
dispositivos pueden ser configurados para escuchar solicitudes UPnP de redes locales
o interfaces inalámbricas.
Mediante la utilización de plugins (complementos), que el navegador ejecuta en el
contexto del sistema local, un atacante puede llegar a enviar mensajes UPnP a
dispositivos locales, sin necesidad de autenticación.
Un investigador ha demostrado un vector de ataque que utiliza el plugin de Flash
que los navegadores emplean para visualizar animaciones en dicho formato.
De todos modos, es importante destacar que para que la acción
tenga éxito, el atacante tiene que conocer la dirección IP del dispositivo afectado
. En muchas ocasiones, ésta dirección puede ser obtenida a través de la
información aportada por los propios navegadores u otros métodos.
En este caso, basta convencer a la víctima para que haga clic en un
enlace en un documento HTML (página web o correo electrónico), para que el
atacante pueda tener acceso vía UPnP a la configuración de cualquier dispositivo
afectado, y pueda llegar a ejecutar diversos comandos.
Si el dispositivo afectado actúa como servicio de router o firewall, el atacante
podrá modificar todas las reglas y filtros implementadas, alterar la configuración DNS,
cambiar las claves encriptadas de las comunicaciones inalámbricas o colocar sus
propias contraseñas.
Al momento actual, no existe una solución práctica para este
problema, pero se aconseja deshabilitar UPnP en cualquier dispositivo
conectado a Internet, o con acceso a redes no confiables.
Desactivar UPnP en sistemas como Windows XP, puede impedir que
un atacante explote esta vulnerabilidad. La información para hacer esto, está en el
boletín MS07-019 de Microsoft.
La utilización de NoScript en Mozilla Firefox, también puede minimizar el riesgo.
Filtrar en el cortafuego los puertos UDP 1900 y TCP 2869, tanto de entrada como
de salida, puede bloquear las solicitudes UPnP.
El cortafuego de Windows Vista bloquea UPnP por defecto.
Tenga en cuenta de todos modos, que estas soluciones pueden no prevenir de
forma total la explotación de esta vulnerabilidad.
El US-CERT publicó la siguiente lista de vendedores y fabricantes, cuyos productos
se supone son vulnerables, pero muchos otros podrían serlo.
3com, Inc.
Alcatel
Apple Computer, Inc.
AT&T
Avaya, Inc.
Avici Systems, Inc.
Borderware Technologies
Bro
CentOS
Charlotte's Web Networks
Check Point Software Technologies
Cisco Systems, Inc.
Clavister
Computer Associates
Computer Associates eTrust Security Management
Conectiva Inc.
Cray Inc.
D-Link Systems, Inc.
Data Connection, Ltd.
Debian GNU/Linux
EMC Corporation
Engarde Secure Linux
Enterasys Networks
Ericsson
eSoft, Inc.
Extreme Networks
F5 Networks, Inc.
Fedora Project
Force10 Networks, Inc.
Fortinet, Inc.
Foundry Networks, Inc.
FreeBSD, Inc.
Fujitsu
Gentoo Linux
Global Technology Associates
Hewlett-Packard Company
Hitachi
Hyperchip
IBM Corporation
IBM Corporation (zseries)
IBM eServer
Ingrian Networks, Inc.
Intel Corporation
Internet Security Systems, Inc.
Intoto
IP Filter
Juniper Networks, Inc.
Linksys (A division of Cisco Systems)
Lucent Technologies
Luminous Networks
m0n0wall
Mandriva, Inc.
McAfee
Microsoft Corporation
MontaVista Software, Inc.
Multinet (owned Process Software Corporation)
Multitech, Inc.
NEC Corporation
NetBSD
netfilter
Netgear, Inc.
Network Appliance, Inc.
NextHop Technologies, Inc.
Nokia
Nortel Networks, Inc.
Novell, Inc.
OpenBSD
Openwall GNU/*/Linux
QNX, Software Systems, Inc.
RadWare, Inc.
Red Hat, Inc.
Redback Networks, Inc.
Riverstone Networks, Inc.
Secure Computing Network Security Division
Secureworx, Inc.
Silicon Graphics, Inc.
Slackware Linux Inc.
SmoothWall
Snort
Sony Corporation
Sourcefire
Stonesoft
Sun Microsystems, Inc.
SUSE Linux
Symantec, Inc.
The SCO Group
TippingPoint, Technologies, Inc.
Trustix Secure Linux
Turbolinux
Ubuntu
Unisys
Watchguard Technologies, Inc.
Wind River Systems, Inc.
ZyXEL
* Más información:
Vulnerability Note VU#347812
UPnP enabled by default in multiple devices
http://www.kb.cert.org/vuls/id/347812
Hacking The Interwebs
http://www.gnucitizen.org/blog/hacking-the-interwebs
MS07-019 Vulnerabilidad en UPnP (931261) http://www.vsantivirus.com/vulms07-
019.htm