Peneliti: Kelemahan UPnP mengekspos jutaan perangkat jaringan ke serangan jarak jauh

Puluhan jutaan perangkat yang didukung jaringan termasuk router, printer, server media, kamera IP, smart TV, dan lainnya dapat diserang melalui Internet karena kelemahan yang berbahaya dalam penerapan standar protokol UPnP (Universal Plug and Play), peneliti keamanan dari Rapid7 mengatakan Selasa dalam makalah penelitian.

UPnP memungkinkan perangkat jaringan untuk menemukan satu sama lain dan secara otomatis membuat konfigurasi kerja yang memungkinkan berbagi data, streaming media, p kontrol layback dan layanan lainnya. Dalam satu skenario umum, aplikasi file-sharing yang berjalan di komputer dapat memberi tahu router melalui UPnP untuk membuka port tertentu dan memetakannya ke alamat jaringan lokal komputer untuk membuka layanan file-sharing-nya ke pengguna Internet.

UPnP dimaksudkan untuk digunakan terutama di dalam jaringan lokal. Namun, peneliti keamanan dari Rapid7 menemukan lebih dari 80 juta alamat IP publik (Internet Protocol) unik yang merespons permintaan penemuan UPnP melalui Internet, selama pemindaian yang dilakukan tahun lalu dari Juni hingga November.

[Bacaan lebih lanjut: Bagaimana cara menghapus malware dari PC Windows Anda]

Selanjutnya, mereka menemukan bahwa 20 persen, atau 17 juta, dari alamat IP tersebut berhubungan dengan perangkat yang mengekspos layanan UPnP SOAP (Protokol Akses Objek Sederhana) ke Internet. Layanan ini dapat memungkinkan penyerang untuk menargetkan sistem di belakang firewall dan memaparkan informasi sensitif tentang mereka, kata peneliti Rapid7.

Berdasarkan tanggapan penemuan UPnP, para peneliti dapat sidik jari perangkat unik dan menemukan apa perpustakaan UPnP yang mereka gunakan. Mereka menemukan bahwa lebih dari seperempat dari mereka telah menerapkan UPnP melalui sebuah perpustakaan yang disebut Portable UPnP SDK.

Delapan kerentanan yang dapat dieksploitasi secara remote telah diidentifikasi dalam Portable UPnP SDK, termasuk dua yang dapat digunakan untuk eksekusi kode jarak jauh, kata para peneliti..

"Kerentanan yang kami identifikasi di Portable UPnP SDK telah diperbaiki pada versi 1.6.18 (dirilis hari ini), tetapi akan membutuhkan waktu yang lama sebelum masing-masing aplikasi dan vendor perangkat memasukkan patch ini ke dalam produk mereka, ”HD Moore, kepala petugas keamanan di Rapid7, mengatakan pada hari Selasa di sebuah posting blog.

Lebih dari 23 juta alamat IP dari mereka yang diidentifikasi selama pemindaian berhubungan dengan perangkat yang dapat dikompromikan melalui kerentanan Portable UPnP SDK dengan mengirim satu yang dibuat khusus Paket UDP untuk mereka, menurut Moore.

Kerentanan tambahan, termasuk yang dapat digunakan dalam penolakan layanan dan serangan eksekusi kode jarak jauh, juga ada di perpustakaan UPnP. diisi MiniUPnP. Meskipun kerentanan ini telah dibahas dalam versi MiniUPnP yang dirilis pada tahun 2008 dan 2009, 14 persen perangkat UPnP yang terpajan di Internet menggunakan versi MiniUPnP 1.0 yang rentan, kata peneliti Rapid7.

Masalah lain telah diidentifikasi dalam versi terbaru dari MiniUPnP, 1,4, tetapi mereka tidak akan diungkapkan secara terbuka sampai pengembang perpustakaan merilis patch untuk mengatasinya, kata mereka.

"Semua diberitahu, kami dapat mengidentifikasi lebih dari 6.900 versi produk yang rentan melalui UPnP," Kata Moore. "Daftar ini mencakup lebih dari 1.500 vendor dan hanya memperhitungkan perangkat yang mengekspos layanan SOAP UPnP ke Internet, kerentanan serius dalam dirinya sendiri."

Rapid7 menerbitkan tiga daftar produk terpisah yang rentan terhadap cacat Portable UPnP SDK, MiniUPnP kekurangan, dan yang mengekspos layanan SOAP UPnP ke Internet.

Belkin, Cisco, Netgear, D-Link dan Asus, yang semuanya memiliki perangkat rentan sesuai dengan daftar yang diterbitkan oleh Rapid7, tidak segera menanggapi permintaan untuk komentar yang dikirim Selasa.

Moore percaya bahwa dalam banyak kasus perangkat jaringan yang tidak lagi dijual tidak akan diperbarui dan akan tetap terkena serangan jarak jauh tanpa batas kecuali pemiliknya secara manual menonaktifkan fungsionalitas UPnP atau menggantinya.

“Temuan ini membuktikan bahwa terlalu banyak vendor masih belum mempelajari dasar-dasar perancangan perangkat yang standar untuk konfigurasi yang aman dan kuat, ”kata Thomas Kristensen, kepala petugas keamanan di penelitian kerentanan dan perusahaan manajemen Secunia. "Perangkat yang ditujukan untuk koneksi Internet langsung tidak boleh menjalankan layanan apa pun di antarmuka publik mereka secara default, terutama bukan layanan seperti UPnP, yang semata-mata ditujukan untuk jaringan 'tepercaya' lokal."

Kristensen percaya bahwa banyak perangkat yang rentan cenderung tetap unpatched sampai mereka diganti, bahkan jika produsen mereka merilis pembaruan firmware.

Banyak pengguna PC bahkan tidak memperbarui perangkat lunak PC yang sering mereka gunakan dan kenal, katanya. Tugas untuk menemukan antarmuka web dari perangkat jaringan yang rentan, memperoleh pembaruan firmware dan melalui seluruh proses pembaruan kemungkinan akan terlalu mengintimidasi bagi banyak pengguna, katanya.

Makalah penelitian Rapid7 mencakup rekomendasi keamanan untuk penyedia layanan Internet, bisnis dan pengguna rumahan.

ISP disarankan untuk mendorong pembaruan konfigurasi atau pembaruan firmware ke perangkat pelanggan untuk menonaktifkan kemampuan UPnP atau untuk mengganti perangkat tersebut dengan perangkat lain yang dikonfigurasi dengan cara aman dan tidak mengekspos UPnP ke Internet.

"Pengguna PC rumahan dan ponsel harus memastikan bahwa fungsi UPnP pada router rumah dan perangkat broadband seluler mereka telah dinonaktifkan," kata para peneliti.

Selain memastikan bahwa tidak ada perangkat yang menghadap ke luar yang mengekspos UPnP ke Internet, perusahaan disarankan untuk melakukan peninjauan yang cermat terhadap potensi dampak keamanan dari semua perangkat berkemampuan UPnP yang ditemukan di jaringan mereka - printer jaringan, kamera IP, sistem penyimpanan, dan sebagainya - dan pertimbangkan untuk mengelompokkan mereka dari jaringan internal sampai pembaruan firmware tersedia dari pabrikan.

Rapid7 merilis alat gratis bernama ScanNow untuk Universal Plug and Play, serta modul untuk kerangka pengujian penetrasi Metasploit, yang dapat digunakan untuk mendeteksi layanan UPnP yang rentan yang berjalan di dalam jaringan.

Diperbarui pada pukul 1:45 siang PT untuk memperbaiki tanggal di mana permintaan untuk komentar dikirim ke perusahaan dengan perangkat yang rentan.