UPnP和谈CallStranger缝隙影响数百万设备
颁布功夫 2020-06-30一、、缝隙概述
2020年6月8日 ，安全钻研员Yunus ?adirci颁布UPnP（通用即插即用）和谈缝隙布告（CVE-2020-12695） ，并将其定名为CallStranger缝隙。。该缝隙允许攻击者绕过内网的数据防泄露系统（DLP）进行数据逃逸 ，可导致敏感数据泄露 ，并且可对设备地点内部网络进行扫描 ，甚至能劫持设备进行散布式回绝服务（DDOS）攻击。。OG东方厅ADLab以某款智能电视作为测试指标 ，对CallStranger缝隙的�：π越辛搜菔痉治�。。
二、、缝隙影响
与之前的UPnP缝隙分歧 ，CallStranger缝隙存在于和谈设计中 ，因而该缝隙影响险些所有支持UPnP的设备 ，蕴含Windows 10所有版本、、路由器、、接见接入点、、打印机、、游戏机、、门铃对讲机、、媒体利用法式和设备、、摄像头、、电视机等。。凭据SHODAN和ZoomEye的搜索了局 ，至少罕见以百万计的在线设备受到影响。。
三、、缝隙分析
UPnP全称为Universal Plug andPlay ，即通用即插即用 ，UPnP允许各类网络设备在没有任何特殊设置或配置的情况下进行通讯 ，使设备彼此可自动衔接和协同工作。。例如新的打印机插上电并衔接网络之后 ，局域网内的推算机就知晓了打印机的型号等信息 ，方便进行驱动装置。。
在UPnP和谈规范中有一个极度重要的职能�？� ，叫做事务(Eventing)。。在UPnP服务进行的功夫内 ，只有设备用于UPnP服务的变量值产生变动或者模式产生了扭转 ，就会产生一个事务 ，随之向整个网络进行广播。�；；蛘哂没芄皇孪认騏PnP设备发送订阅要求 ，保障UPnP设备实时地将事务传送过来。。
UPnP DeviceArchitecture 2.0[1]中关于UPnP的NT与CALLBACK订阅�？橛腥缦绿迨�：
publisher path通常为订阅的服务 ，以GENA体式存放在设备的某个XML文件中 ，类似下图。。
CALLBACK的值通常为回调地址的URL。。NT取upnp:event暗示订阅事务。。
UPnP和谈规范文档中提到：CALLBACK是必填区域 ，所填信息为发送事务信息的URL。。通常情况下为UPnP供给商指定。。若是其中界说了不止一个URL ，设备会按挨次尝试衔接 ，直到有一个衔接成功。。每个URL通常为HTTP和谈(即前缀为”http://”)。。设备不得以任何方式截断这些URL。。若是内存不及以存储所有的CALLBACK URL ，设备会回绝订阅。。
整个订阅流程或许能够简化如下图。。
很显然 ，该和谈并没有对CALLBACK传入的URL进行限度和规范 ，也就是说 ，CALLBACKURL是攻击者可控的。。
下图为Intel UPnP SDK中查抄CALLBACK URL的有关代码 ，create_url_list函数仅仅查抄了URL是否合法 ，并没有确定其是否合理。。
四、、缝隙�：�
CallStranger缝隙所造成的�：δ芄环秩龇矫�：DDoS攻击、、数据逃逸和端口扫描。。其中造成的DDoS攻击能够分两种 ，SYN洪水攻击和TCP反射放大攻击 ，如下图所示。。
4.1 SYN洪水攻击
如果我们已经通过一些步骤(如在局域网广播等)获得了某些设备UPnP服务的eventSubURL ，下面就能够向UPnP设备提议一项订阅服务 ，体式如下:
SUBSCRIBE eventSubURLHTTP/1.1
NT:upnp:enent
Callback: deliveryURL
Host: upnp设备:upnp服务端口
如前文和谈规范中提到的 ，若CALLBACL Value中界说了不止一个URL ，则会按挨次尝试TCP衔接 ，直到有一个衔接成功。。那么攻击者可在CALLBACK Value中精心机关多个URL ，使每一个都无法衔接成功 ，这样UPnP设备就会用多个SYN包顺次对每个URL尝试TCP握手。。如果攻击者能够操控好多个设备 ，就会导致受害设备遭逢DDoS攻击。。
SYN数据包的数量凭据设备操作系统和配置的分歧而分歧 ，利用某品牌智能电视对受害设备进行SYN洪水攻击测试 ，测试了局如下图所示。。
该智能电视每收到一个CALLBACK Value就会发送8个SYN数据包尝试衔接受害设备。。若我们每个CALLBACK的URL值为25字节 ，那么带宽放大因子便能够达到8*60/25=19.2。。由于CALLBACK Value的个数是没有限度的 ，所以理论上是能够无限放大的。。
4.2 TCP反射放大攻击
Windows Media Player在播放视频时也有相应的UPnP服务 ，我们获取到的UPnP服务列表如下：
我们拔取其中一项服务来测试一下。。攻击者只必要发送210字节订阅包 ，如下图。。
受害设备之后就会收到近700字节的数据包 ，放大因子达三倍多。。其放大成效通常与UPnP设备的操作系统和厂商配置有关。。
4.3 数据逃逸
通常情况下 ，企业内部网络都有分歧的安全等级划分。。当攻击者渗入到企业内网时 ，若内网开启数据泄露防护系统 ，无法将获得的敏感数据传输出去 ，此时UPnP设备会是一个很好的跳板。。
在RFC7230的3.1.1节[2]中 ，并没有对Request Line的长度做任何限度 ，这使得攻击者能够将数据通过Callback的URL值传输出去。。如下图 ，某品牌智能电视一次要求就传输了2500KB的数据。。
4.4 端口扫描
如前文提到的 ，若CALLBACK界说了不止一个URL ，则会按挨次尝试TCP衔接 ，直到有一个成功 ，那么这个规定显然也能够用于端口扫描 ，如下图所示 ，如果攻击者必要扫描IP为192.168.1.13的555端口是否开启 ，那么攻击者只必要将某个能够监控的URL搁置在后即可确认 ，若攻击者收到衔接要求 ，则端口未开启 ，反之 ，则开启。。
五、、缝隙缓解及修复
可选取如下措施进行缝隙缓解：
查抄可疑设备 ，若是没有必要 ，则关闭UPnP端口。。
在网关等设备中审计NOTIFYHTTP数据包。。
在最新更新的UPnP和谈规范[1]4.1.1节中 ，能够看出开发者限度了订阅事务的源IP和指标IP都必须在内网中 ，这从肯定水平上修复了该缝隙。。
参考链接：
[1]https://openconnectivity.org/upnp-specs/UPnP-arch-DeviceArchitecture-v2.0-20200417.pdf
[2]https://tools.ietf.org/html/rfc7230#section-3.1.1
[3]https://delaat.net/rp/2008-2009/p26/report.pdf
[4]https://kb.cert.org/vuls/id/339275
[5]https://zh-cn.tenable.com/blog/cve-2020-12695-callstranger-vulnerability-in-universal-plug-and-play-upnp-puts-billions-of
[6]https://www.youtube.com/watch?v=hJSxDHPyTBE
OG东方厅积极防御尝试室（ADLab）
ADLab成立于1999年 ，是中国安全行业最早成立的攻防技术钻研尝试室之一 ，微软MAPP打算主题成员 ，“黑雀攻击”概念首推者。。截止目前 ，ADLab已通过CVE累计颁布安全缝隙1000余个 ，通过 CNVD/CNNVD累计颁布安全缝隙800余个 ，持续维持国际网络安全领域一流水准。。尝试室钻研方向涵盖操作系统与利用系统安全钻研、、移动智能终端安全钻研、、物联网智能设备安全钻研、、Web安全钻研、、工控系统安全钻研、、云安全钻研。。钻研成就利用于产品主题技术钻研、、国度重点科技项目攻关、、专业安全服务等。。
京公网安备11010802024551号