CallStranger: Große Sicherheitslücke betrifft Millionen UPnP-Geräte
Eine Sicherheitslücke im Universal-Plug-and-Play-Standard (UPnP) betrifft unzählige Geräte. Die Schwachstelle mit der Nummer CVE-2020-12695(öffnet im neuen Fenster) trägt den Namen Callstranger(öffnet im neuen Fenster) und wurde von dem IT-Sicherheitsforscher Yunus Çadirci veröffentlicht. ZDNet berichtete(öffnet im neuen Fenster) über den Bug.
UPnP wird von Milliarden Smart Devices, Routern, IP-Kameras, Spielekonsolen oder Druckern unterstützt. Derzeit zeigt die Suchmaschine für das Internet der Dinge etwa 5,5 Millionen Geräte(öffnet im neuen Fenster) an, die im Netz erreichbar sind.
Der Bug kann es Angreifern ermöglichen, Sicherheitsvorkehrungen im Netzwerk zu umgehen und über ein verwundbares Gerät beispielsweise interne Netzwerke zu scannen, die Geräte für DDoS-Angriffe zu nutzen oder sogar Daten auszuleiten. Möglich wird das über die alte Subscribe-Funktion bei UPnP, bei der die URL im Callback-Header nicht überprüft wird und so von Angreifern kontrolliert werden kann.
Çadirci informierte die für den UPnP-Standard zuständige Open Connectivity Foundation im Dezember 2019, woraufhin die UPnP-Spezifikation(öffnet im neuen Fenster) im April aktualisiert wurde. Da es sich um eine Schwachstelle im Protokoll handelt, könne es jedoch lange dauern, bis alle Hersteller das Problem gepatcht hätten, schreibt Çadirci.
Eigene Sicherheitsvorkehrungen sind notwendig
Er hat auf Github ein Skript veröffentlicht(öffnet im neuen Fenster) , mit dem sich überprüfen lässt, ob sich in den eigenen Netzwerken anfällige Geräte befinden. Solange keine flächendeckenden Patches der Hersteller existieren, sind zusätzliche Sicherheitsvorkehrungen notwendig. Çadirci empfiehlt, alle unnötigen UPnP-Ports zu schließen, die aus dem Internet erreichbar sind. Außerdem sollten UPnP-Subscribe-Pakete und Notify-Http-Pakete bei sicherheitskritischen Geräten blockiert werden.
"Obwohl aus dem Internet zugängliche UPnP-Dienste allgemein als Fehlkonfiguration anzusehen sind, offenbart ein kürzlich durchgeführter Shodan-Scan noch immer eine Reihe von Geräten, die über das Internet erreichbar sind" , schreibt das CERT Coordination Center(öffnet im neuen Fenster) der Carnegie Mellon University. Callstranger ist nicht die erste UPnP-Schwachstelle, die viele Geräte betrifft. Im Jahr 2013 fand sich ein Fehler in der Bibliothek libupnp , die Remote Code Execution ermöglichte und besonders bei Routern kritisch war. Noch Jahre später(öffnet im neuen Fenster) wurden ungepatchte Geräte für ein Botnetz genutzt.