UPnP协议或将再次引发攻击浪潮

安全专家警告，由于UPnP协议存在大量缺陷，所有暴露在公网上开启UPnP的设备都将受到不小的安全威胁。

Home Network研究人员Tony Yang在Shodan上发现了1648769台设备开启了UPnP，其中35%的设备使用的是MiniUPnPd库，20%的设备使用的是Broadcom的UPnP库。

Yang在发表的分析报告中表示：“某些使用了UPnP的路由器很容易出现设置问题，将内网设备的端口直接转发到公网上，使黑客易于攻击。例如，去年的PewDiePie打印机攻击事件。”

“许多设备（如照相机、打印机和路由器）使用UPnP来发现和检验本地网络上的其他设备，方便相互通信进行数据共享。UPnP通常和网络协议联系在一起。”

早在2018年4月，Akamai报告称，有黑客利用UPnP的漏洞入侵了65000个家庭路由器，搭建僵尸网络UPnProxy。而到了2018年12月，UPnProxy仍在运行。

在2013年初，Rapid7的研究人员就发表了一篇说明文章，题为“UPnP的安全缺陷”，里面也提及到了全球暴露在公网上开启了UPnP的设备的分布情况。

文章中强调，2300多万个IP由于UPnP SDK漏洞而已遭受远程代码执行攻击，1500多家供应商的6900多个版本产品由于把UPnP SOAP服务暴露在互联网上而易被攻击。

利用UPnP协议，攻击者可以控制进出设备的网络流量。Akamai发现的僵尸网络正是将路由器变成代理来控制其他设备的。

据Akamai称，许多开启了UPnP设备的漏洞仍然没有修补，专家们发现，在350万台潜在目标中，277000台仍然向UPnProxy开放，45000台已被控制。

去年12月，Akamai观察到的一个被称为“永恒沉默”的攻击活动，通过利用“永恒之蓝”和“永恒之红”（CVE-2017-7494）进行攻击，针对隐藏在路由器后面的数百万台机器。安全专家检测到数以百万计的用“永恒系列”发起的攻击。

黑客们共控制了45113台路由器，间接影响了170万台机器。

摄像头、打印机、NAS设备、智能电视和一切使用UPnP进行共享的设备都会受到攻击，黑客可利用它们绕过防火墙攻击本地网络。

除了UPnP本身的不安全性，专家还发现大多数设备仍然使用受多个漏洞影响的旧版UPnP库。

这意味着大部分设备都是易受到攻击的，特别是以下高危漏洞：

• CVE-2013-0230，MiniUPnPd 1.0中基于堆栈的缓冲区溢出使攻击者可执行任意代码。

• CVE-2013-0229 MiniUPnPd 1.4之前的一个漏洞，允许攻击者发起拒绝服务（DoS）

• CVE-2017-1000494，MiniUPnPd中的未初始化堆栈变量漏洞

专家还发现，18%的UPnP设备使用了Windows UPnP Server，其中约5%使用libupnp库安装。这意味着永恒之蓝漏洞很有可能还存在于机器中。Windows XP在2014年4月达到了使用寿命，不再安全更新。

专家建议尽可能禁用UPnP功能，并及时更新固件。

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://securityaffairs.co/wordpress/82086/hacking/upnp-enabled-devices-hack.html