Biolääketieteen tutkija - Forskare i biomedicin
Kymmenet miljoonien verkkolaitteiden, mukaan lukien reitittimet, tulostimet, mediapalvelimet, IP-kamerat, älykkäät televisiot ja muut, voidaan hyökätä Internetin kautta, koska UPnP (Universal Plug and Play) -protokollastandardin täytäntöönpanossa on vaarallisia puutteita.
UPnP sallii verkkolaitteiden löytämisen toisilleen ja luo automaattisesti toimivia kokoonpanoja, jotka mahdollistavat tiedon jakamisen, mediasoittovirran, median taantuman valvonta ja muut palvelut. Yhdessä yhteisessä skenaariossa tietokoneella toimiva tiedostonjako-ohjelma voi kertoa reitittimelle UPnP: n välityksellä avaamaan tietyn portin ja kartoittamaan sen tietokoneen paikalliselle verkko-osoitteelle, jotta se voi avata tiedostonjako-palvelun Internet-käyttäjille.
UPnP on tarkoitus käyttää ensisijaisesti paikallisissa verkoissa. Rapid7: n turvallisuustieteilijät löysivät kuitenkin yli 80 miljoonaa yksilöllistä julkista IP-osoitetta (Internet Protocol), jotka vastasivat UPnP: n etsintäpyyntöihin Internetissä viime vuoden kesällä marraskuuhun mennessä.
[Lue lisää: Windows-tietokone]Lisäksi he havaitsivat, että 20 prosenttia eli 17 miljoonaa näistä IP-osoitteista vastasi laitteita, jotka paljastivat UPnP SOAP (Simple Object Access Protocol) -palvelun Internetiin. Tämä palvelin voi sallia hyökkääjien suunnata palomuurin takana olevia järjestelmiä ja paljastaa heistä arkaluonteiset tiedot, Rapid7-tutkijat sanoivat.
UPnP-löydön vastausten perusteella tutkijat pystyivät sormenjälkien avulla lukemaan ainutlaatuisia laitteita ja selvittämään, mitä UPnP-kirjastoa he käyttivät. He havaitsivat, että yli neljännes UPnP: stä toteutettiin kannettavan UPnP SDK-kirjaston kautta.
Kahdeksan kaukopuhevahvistettavia haavoittuvuuksia on tunnistettu Portable UPnP SDK: ssa, joista kaksi on mahdollista koodin etäsuorittamiseen..
"Portable UPnP SDK: ssa tunnistetut haavoittuvuudet on vahvistettu versio 1.6.18: sta (julkaistu tänään), mutta kestää kauan ennen kuin jokainen sovellus ja laitevalmistajat sisällyttävät tämän korjaustiedoston tuotteisiinsa, "Rapid UP: n turvallisuuspäällikkö HD Moore totesi tiistaina blogikirjoituksessa.
Skannauksen aikana tunnistetuista yli 23 miljoonasta IP-osoitteesta vastasi laitteita, jotka saattavat vaarantua Portable UPnP SDK -haavoittuvuuksien avulla lähettämällä yhden nimenomaisesti muotoillun UDP-paketti Moorein mukaan.
Muita haavoittuvuuksia, myös sellaisia, joita voidaan käyttää palvelunestohyökkäyksissä ja koodinpurkutyökaluissa, ovat myös UPnP-kirjastossa linnut MiniUPnP. Vaikka nämä haavoittuvuudet on otettu huomioon vuonna 2008 ja 2009 julkaistussa MiniUPnP-versiossa, 14 prosenttia Internet-altistetuista UPnP-laitteista käyttää haavoittuvaa MiniUPnP 1.0 -versiota, Rapid7-tutkijat sanoivat.
Muut ongelmat on tunnistettu uusimmassa versiossa MiniUPnP, 1.4, mutta niitä ei julkisteta, ennen kuin kirjaston kehittäjä julkaisee korjaustiedoston, joka kertoo heille.
"Kaiken kaikkiaan pystyimme tunnistamaan yli 6 900 tuoteversiota, jotka olivat haavoittuvia UPnP: n kautta" Moore sanoi. "Tämä luettelo kattaa yli 1500 toimittajaa ja otti vain huomioon laitteet, jotka altistuivat UPnP SOAP -palveluun Internetiin, vakavaan haavoittuvuuteen itsessään."
Rapid7 julkaisi kolme erillistä tuotteiden luetteloa, jotka ovat haavoittuvia Portable UPnP SDK -vikoille, MiniUPnP virheet ja jotka altistavat UPnP SOAP -palvelun Internetiin.
Moore uskoo, että useimmissa tapauksissa verkkolaitteita, jotka eivät ole enää käytössä, eivät ole välittömästi vastanneet kommentointipyyntöihin, jotka lähetettiin tiistaina. myydystietoja ei päivitetä, ja ne pysyvät alttiina etähyökkäyksille loputtomiin, ellei niiden omistajat poista manuaalisesti UPnP-toimintoja tai korvaavat ne.
"Nämä havainnot osoittavat, että liian monet valmistajat eivät ole vielä oppineet sellaisten laitteiden suunnittelun perusasioita, turvallinen ja vankka kokoonpano ", sanoi tietoturvapäällikkö Thomas Kristensen haavoittuvuustutkimuksessa ja Secunian hallinnointiyrityksessä. "Suorissa Internet-yhteyksissä tarkoitettujen laitteiden ei pitäisi oletusarvoisesti käyttää julkisia rajapintojaan, etenkään sellaisia palveluita kuin UPnP, jotka on tarkoitettu vain paikallisille" luotettaville "verkoille."
Kristensen uskoo, että monet haavoittuvista laitteista ovat todennäköisesti pysyneet ennallaan, kunnes ne korvataan, vaikka niiden valmistajat julkaisevat laiteohjelmistopäivitykset.
Monet tietokoneen käyttäjät eivät edes päivitä PC-ohjelmistoja, joita he usein käyttävät ja tuntevat. Haavoittuvassa verkossa toimivan laitteen Web-käyttöliittymän löytäminen, firmware-päivityksen hankkiminen ja koko päivitysprosessin käyminen ovat todennäköisesti liian uhkaavia useille käyttäjille.
Rapid7-tutkimuspaperi sisältää tietoturvaparametreja Internet-palveluntarjoajille, yrityksiä ja kotikäyttäjiä.
Internet-palveluntarjoajia kehotettiin siirtämään määrityspäivityksiä tai laiteohjelmistopäivityksiä tilaajalaitteille UPnP-ominaisuuksien poistamiseksi tai näiden laitteiden korvaamiseksi muiden kanssa, jotka on konfiguroitu turvallisesti ja eivät altista UPnP: tä Internet.
"Koti- ja mobiili-PC: n käyttäjien tulisi varmistaa, että kotisovittimiensa ja mobiililaajakaistelaitteidensa UPnP-toiminto on poistettu käytöstä", tutkijat sanoivat.
Varmista lisäksi, että mikään ulkoinen ulkoinen laite ei altista UPnP: tä yrityksille kehotettiin tekemään huolellinen tarkistus kaikkien UPnP-yhteensopivien laitteiden mahdollisista turvallisuusvaikutuksista verkossa - verkkotulostimet, IP-kamerat, varastointijärjestelmät jne. - ja harkitse niiden segmentointia sisäisestä verkosta, kunnes laiteohjelmistopäivitys on valmis valmistajalta.
Rapid7 julkaisi vapaan työkalun nimeltä ScanNow for Universal Plug and Play sekä moduuli Metasploitin penetraatiotestauskehykselle, jota voidaan käyttää herkkien UPnP-palveluiden havaitsemiseen verkossa.
Päivitetty klo 13.45 PT korjaa päivämäärän, jona kommenttipyynnöt lähetettiin haavoittuvassa laitteessa oleville yrityksille.
MMS, kuten luultavasti tiedät, antaa käyttäjille mahdollisuuden lähettää grafiikkaa, äänileikkeitä, sijaintia, yhteystietoja ja videoleikkeitä AT & T: n jo iPhone-ruuhkaisella verkolla (muista SXSW?). Vaikka MMS: n piti lopettaa verhon "loppukesästä", AT & T hiljalleen pysäytti suunnitelmansa tähän asti, kun se on todennäköisesti valmis miljoonien iPhonen asiakkaiden ovelle pudotukseen, joka ottaa kuvia heidän kissoistaan hilpeästi ja tekstiviesteillä heille kaikille heidän tuntemaan
[Lue lisää: Parhaat Android-puhelimet jokaiselle budjetille. ]
EnGenius vapauttaa verkkolaitteiden myrskyt koti- ja pienyrityksille
Taiwanilaisyhtiö ilmoittaa täyden valikoiman Wi- Fi- ja powerline -tuotteita.
LivingSocial hakkeroitu; miljoonien käyttäjien on vaihdettava salasanoja
Päivittäin päivitettävien sivustojen käyttäjiä yli 50 miljoonaa käyttäjää pyydetään palauttamaan salasanojaan, kun hakkerit hyökkäsivät yrityksen palvelimiin ja mahdollisesti luovuttivat henkilötietoja.