UPnP-Router mit manipulierten Flash-Webseiten angreifbar

Plattformunabhängige Angriffsszenarien mit Flash und UPnP

Prinzipbedingt war eine Ausnutzung von Universal Plug and Play (UPnP) für Schadsoftware eigentlich längst überfällig. Eine Benutzerauthentifizierung findet bei UPnP nicht statt und die Angriffe passieren relativ unbemerkt. Dem Angreifer öffnen sich dabei recht beachtliche Möglichkeiten, angefangen bei der Umleitung von Besuchen auf eine Bankseite bis hin zum Öffnen des Netzwerks auf ungewollten Ports.

Artikel veröffentlicht am 15. Januar 2008, 13:01 Uhr, Andreas Sebayang

Universal Plug and Play (UPnP) wurde entwickelt, um dem Nutzer eines Netzwerks das Leben leichter zu machen. Statt sich mit Ports, IP-Adressen oder Ähnlichem in der Router-Software zu beschäftigen, nimmt UPnP dem Nutzer diese Arbeit ohne Benutzereingriff ab. Da UPnP jedoch keine Benutzerauthentifizierung ermöglicht, kann jede beliebige Anwendung Konfigurationen vornehmen. Diese Funktion nutzt ein Proof of Concept von gnucitizen.org aus, der im Artikel Hacking the Interwebs näher beschrieben wurde.

Mit dem Angriff soll es möglich sein, Ports von entsprechenden Rechnern nach außen zu öffnen und den DNS-Server zu manipulieren. Voraussetzung für den Angriff ist in diesem Szenario ein Browser mit installiertem Flash sowie ein UPnP-fähiger Router.

Der Angriff weist einige Besonderheiten auf: Um ein Opfer zu Portforwarding zu bewegen, wird keine Lücke in Flash oder UPnP ausgenutzt, vielmehr nutzt der Angriff vorhandene oder schlicht fehlende Funktionen, in etwa vergleichbar mit einer installierten Anwendung. UPnP bietet keinen Authentifizierungsmechanismus. So kann jede Anwendung - offenbar auch eine Flash-Anwendung - einen UPnP-Router nach eigenen Wünschen konfigurieren.

Die zweite Besonderheit stellt in dem Szenario die Plattformunabhängigkeit dar, die mit Hilfe von Adobes Flash realisiert wird. Der Angreifer muss sich zumindest in der Theorie nicht um plattformabhängigen Code scheren, das gilt nur für einige begleitende Angriffe, die etwa auf Schwächen des Betriebssystems abzielen. Der vorgestellte Proof of Concept scheitert derzeit jedoch unter Firefox, Opera und Safari mit Shockwave Flash 9.0 r115. Der Grund soll ein Fehler in der Version r115 von Adobes Flash sein.