Dipl.-Inform. Carsten Eilers

Daniel Garcia hat auf der vom 4. bis 7. August 2011 abgehaltenen Sicherheitskonferenz DEF CON 19 einen Angriff auf bzw. Schwachstellen in einigen DSL-Routern und Kabelmodems beschrieben (Präsentation zum Download): Die Router unterstützen auch auf der WAN-Schnittstelle UPnP (Universal Plug and Play), so dass sie aus dem Internet zugänglich sind. Ein Angreifer kann die Geräte z.B. so umkonfigurieren, dass sie als Proxy dienen oder über sie auf das interne LAN zugreifen. Das grundsätzliche Problem des unsicheren UPnP ist seit mindestens 2001 bekannt, bis zu den Router-Herstellern scheint es sich aber nicht herumgesprochen zu haben. Dan Kaminsky ist übrigens zufällig auf das gleiche Problem gestoßen, als er Bitcoin auf Schwachstellen untersuchte.

Zur Demonstration der Angriffe hat Daniel Garcia das Python-Skript Umap zum Download bereit gestellt. Seine Original-Website ist zumindest zur Zeit nicht erreichbar, es gibt aber Kopien des Tools, z.B. auf Packet Storm.

Insgesamt stellt Umap drei Funktionen bereit:

1. Einen SocksV4-Proxy, der Requests automatisch durch UPnP-Geräte weiterleitet,
2. einen TCP/UDP-Scanner und
3. einen manuellen Port-Mapper für UPnP-Geräte

UPnP übers Internet - fast so einfach wie Plug&Play

Umap sucht im Internet nach UPnP-fähigen Geräten wie DSL-Routern und Kabelmodems. Eigentlich ist UPnP nur für lokale Netze vorgesehen, in denen UPnP-fähige Geräte über Multicast-Requests gesucht werden. Danach wird dann die XML-Beschreibung der Geräte über HTTP und SOAP angefordert, auch die darauf ggf. folgende Konfigurationsänderung etc. erfolgt über HTTP/SOAP. Auf den Geräten muss also generell ein HTTP-Server auf entsprechende Requests warten. Umap löst das Problem der Suche, indem die XML-Beschreibungen der Geräte direkt abgefragt werden, für einige Modelle sind die benötigten URL und Ports bereits im Skript enthalten. Bei Geräten von Linksys, Edimax, Sitecom und Thomson (einschließlich Speedtouch/Alcatel/Thomson) nehmen die HTTP-Server für UPnP auch auf der WAN-Schnittstelle Requests entgegen - und genau darin besteht die Schwachstelle.

Da UPnP keine Authentifizierung kennt, ist zumindest die Abfrage der XML-Beschreibung immer möglich. Nach dem ersten Verbindungsaufbau sendet Umap dann über SOAP-Requests Befehle wie "AddPortMapping" an die Geräte, die eigentlich von anderen Geräten im LAN verwendet werden, um über NAT auf das Internet zuzugreifen. Umap mappt den Port dann auf ein beliebiges Gerät im LAN, dessen IP-Adresse erraten wird, und versucht so, Hosts und Services im LAN zu erkennen.

Da das Mapping auch mit IP-Adressen im Internet funktioniert, kann der Angreifer das angegriffene Gerät auch als Proxy missbrauchen, um z.B. illegale Inhalte herunter zu laden oder anonym zu surfen.

Die meisten DSL-Router und Kabelmodems sind beim Loggen ziemlich nachlässig, daher lässt sich ein Angriff meist nicht erkennen oder gar nachweisen. Die entsprechenden Informationen landen schlicht und einfach gar nicht im Logfile.

Gegenmaßnahme: UPnP ausschalten. Teilweise oder ganz

Das Problem lässt sich ganz einfach dadurch lösen, dass UPnP für die WAN-Schnittstelle ausgeschaltet wird. Wenn der Hersteller des DSL-Routers oder Kabelmodems dass denn vorgesehen hat. Wenn nicht, bleibt nur die Möglichkeit, UPnP komplett auszuschalten. Was wiederum u.U. dazu führt, das Geräte im LAN keine Verbindung ins Internet mehr aufbauen können, da sie den Router bzw. das Modem nicht mehr finden bzw. nicht mehr passend konfigurieren können.

Soviel zur aktuellen Gefährdung von Home-Routern und Co. über das bzw. aus dem Internet. In der nächsten Folge geht es um mehr oder weniger aktuelle Entwicklungen im Bereich der WLAN-Sicherheit.

Carsten Eilers

Übersicht über alle Artikel zum Thema

WEP, WPA, WPA2 - WLAN-Schutz, aber richtig!

"Hole196" - Eine neue Schwachstelle in WPA2

DNS-Rebinding - Ein altbekannter Angriff kompromittiert Router

Von außen durch den Client in den Router

Ciscos "WPA Migration Mode" öffnet den Weg ins WLAN

NAT-Pinning, Angriffe auf Cisco-WLANs und ein Tool

Angriffe auf den WLAN-Client

BEAST - Ein neuer Angriff auf SSL und TLS 1.0

Konfigurationsänderungen am Router per UPnP - aus dem Internet

WLAN-Sicherheit - Stand der Dinge

WPS-Schwachstelle gefährdet WLANs