Abo
  • IT-Karriere:

libupnp: Schwere UPnP-Lücke in Hunderten von Routermodellen

Das US-Cert warnt vor einer Lücke in den UPnP-Funktionen, welche vermutlich nahezu alle privat genutzten Router betrifft. Zwar gibt es eine einfache Abhilfe, aber das Stopfen der Lücke dürfte einige Zeit in Anspruch nehmen.

Artikel veröffentlicht am ,
Zahlreiche UPnP-fähige-Router sind angreifbar.
Zahlreiche UPnP-fähige-Router sind angreifbar. (Bild: Justin Sullivan/Getty Images)

In einem aktuellen Security-Advisory warnt das US-Cert vor einer Lücke in den Funktionen für Universal Plug and Play (UPnP), die die Mehrzahl der Router und andere Geräte für Heimnetzwerke betrifft. Der Fehler steckt in zahlreichen Versionen der ursprünglich von Intel seit dem Jahr 2001 entwickelten Bibliothek "libupnp", die auch für andere Prozessorarchitekturen und Betriebssysteme, darunter Windows, Linux und Mac OS, verwendet wurde.

Stellenmarkt
  1. STRABAG BRVZ GMBH & CO.KG, Stuttgart
  2. Kommunale Datenverarbeitung Oldenburg (KDO), Oldenburg

Nahezu alle Geräte und Programme, die UPnP beherrschen, dürften darauf basieren. Heute sind Folgeversionen von libupnp als "Portable SDK" für die Funktionen bekannt. Laut der Warnung sind alle Versionen von libupnp vor der Nummer 1.6.17 von der Lücke betroffen.

Router reagieren auf UPnP-Anfragen aus dem Internet

Bei drei Funktionen von UPnP, die durch die Bibliothek gesteuert werden, kann es zu einem Pufferüberlauf kommen, über den ein Angreifer Code in das betroffene Gerät einschleusen kann. Dabei ist es auch möglich, über das Internet Zugriff auf ein privates Netzwerk zu erlangen, wie das Cert ausdrücklich feststellt. Die betroffenen Geräte reagieren nämlich auch auf UPnP-Anfragen über das WAN-Interface - also beispielsweise einen DSL-Anschluss - und können so durch Ausnutzen der Lücke kompromittiert werden.

Gerade bei Routern ist der Fehler also kritisch, er dürfte aber auch in vielen anderen Geräten stecken, die UPnP beherrschen. Dazu zählen beispielsweise NAS-Laufwerke, vernetzte Unterhaltungselektronik wie Smart-TVs, Blu-ray-Player und Spielekonsolen sowie Streaming-Clients und Netzwerkkameras. Von diesen Geräten geht aber weniger Gefahr aus, weil ein Angreifer sich innerhalb des privaten Netzes befinden muss.

Lösung: UPnP nur im Router abschalten

Die Abhilfe ist aber ganz einfach und wird vom Cert auch so empfohlen: UPnP muss im Router abgeschaltet werden. Die Funktionen für Universal Plug and Play lassen sich dann auch innerhalb des Netzes von anderen weiterhin nutzen, nur kann der Router nicht mehr von anderen Geräten per UPnP konfiguriert werden. Das ist aber für viele andere beliebte Funktionen in einem Heimnetz wie Streaming von Medien per DLNA oder Airplay oder die Dateifreigabe gar nicht nötig. Vorsichtige Anwender schalten von jeher UPnP im Router ab.

Eine Liste der betroffenen Geräte gibt es noch nicht, das Cert hat aber bereits seit Dezember 2012 über 200 Firmen kontaktiert. Immerhin gaben einige Unternehmen zu, von der Lücke betroffen zu sein. Dazu zählen unter anderem Huawei, NEC, Sony, Belkin, Cisco, Linksys, D-Link und Siemens. Angesichts des Alters der Lücke dürften Hunderte Routermodelle, die in den vergangenen Jahren verkauft wurden, von dem Problem betroffen sein. Abhilfe ist nur durch neue Firmwareversionen möglich, die aber erst erstellt, getestet und verteilt werden müssen.

Entdeckt hat den Fehler das Sicherheitsunternehmen Rapid7, das die Lücke dem Cert mitgeteilt hat. In einem umfangreichen Whitepaper (PDF) beschreibt Rapid7 die Lücke detailliert auch mit Codebeispielen.

Nachtrag vom 30. Januar 2013, 12:10 Uhr

Die Speedport-Router der Telekom sowie Geräte von AVM sollen von der Lücke nicht betroffen sein, wie die Unternehmen Golem.de sagten. Die Hintergründe finden sich in einer aktuellen Meldung.



Anzeige
Top-Angebote
  1. 10,99€ (ohne Prime oder unter 29€ + Versand)
  2. (u. a. Samsung U32J590UQU UHD-Monitor + Xbox One S 1 TB Bundle mit The Division 2 oder Minecraft...
  3. (u. a. WD Elements Desktop 4 TB für 82,99€)

Frauke 05. Nov 2014

@ Alle, Hallo, so wie es hier steht, habe ich das ebenfalls mal (von einer kundigen...

FrankTzFL1977 31. Jan 2013

Wer lesen kann ist klar im vorteil ;-) nee mal ernst. :-) Ich habe geschrieben "einige...

theanswerto1984... 31. Jan 2013

tr69 ist dafür zuständig, und ja, das wird von den providern auch gemacht(allerdings...

holminger 30. Jan 2013

Portforwardings bringen immer ein gewisses Risiko mit sich und deshalb sollte der User...

fratze123 30. Jan 2013

Bei Filesharing auf Geräten mit dynamischer IP ist es schon praktisch, wenn sich diese...


Folgen Sie uns
       


Nintendo Game Boy - ein kurzer Rückblick

Tetris, Pokémon, Super Mario - wir fassen die Geschichte des Game Boy im Video zusammen.

Nintendo Game Boy - ein kurzer Rückblick Video aufrufen
Azure Speech Service: Microsofts Demos entstehen im fensterlosen Nerd-Keller
Azure Speech Service
Microsofts Demos entstehen im fensterlosen Nerd-Keller

Build 2019 Moderne Architektur, große Fenster, ein Zen-Garten: Microsofts Campus wirkt außen modern und aufgeräumt. Präsentationen entstehen trotzdem in einem fensterlosen Raum, in dem sich Hardware und Werkzeug stapeln. Microsoft zeigt dort auch eine ungeskriptete Version seiner Spracherkennungssoftware.
Von Oliver Nickel

  1. Beta Writer Algorithmus schreibt wissenschaftliches Buch
  2. Google Neuer KI-Rat soll Googles ethische Richtlinien umsetzen
  3. Affectiva KI erkennt die Gefühle von Autofahrern

Das andere How-to: Deutsch lernen für Programmierer
Das andere How-to
Deutsch lernen für Programmierer

Programmierer schlagen sich ständig mit der Syntax und Semantik von Programmiersprachen herum. Der US-Amerikaner Mike Stipicevic hat aus der Not eine Tugend gemacht und nutzt sein Wissen über obskure Grammatiken, um Deutsch zu lernen.
Von Mike Stipicevic

  1. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein
  2. Software-Entwickler Welche Programmiersprache soll ich lernen?

Oneplus 7 Pro im Hands on: Neue Konkurrenz für die Smartphone-Oberklasse
Oneplus 7 Pro im Hands on
Neue Konkurrenz für die Smartphone-Oberklasse

Parallel zum Oneplus 7 hat das chinesische Unternehmen Oneplus auch das besser ausgestattete Oneplus 7 Pro vorgestellt. Das Smartphone ist mit seiner Kamera mit drei Objektiven für alle Fotosituationen gewappnet und hat eine ausfahrbare Frontkamera - das hat aber seinen Preis.
Ein Hands on von Ingo Pakalski

  1. Oneplus 7 Der Nachfolger des Oneplus 6t kostet 560 Euro
  2. Android 9 Oneplus startet Pie-Beta für Oneplus 3 und 3T
  3. MWC 2019 Oneplus will Prototyp eines 5G-Smartphones zeigen

    •  /