El protocolo UPnP (Universal Plug and Play), diseñado hace más de una década para simplificar la interconexión automática de dispositivos en una red, presenta una seria vulnerabilidad que puede ser explotada para participar en ataques masivos de denegación de servicio (DDoS). Esta falla, identificada con el ID de vulnerabilidad CVE, permite que dispositivos vulnerables, con el protocolo UPnP expuesto a Internet, sean utilizados para inundar a una víctima con tráfico basura.
El exploit asociado a esta vulnerabilidad ha sido bautizado como "CallStranger". Este exploit aprovecha la capacidad SUBSCRIBE de UPnP, utilizada por los dispositivos para recibir notificaciones de eventos (como la reproducción de contenido multimedia) desde otros aparatos. La falla permite que un usuario remoto no autentificado acceda e interactúe con dispositivos que, en teoría, solo deberían ser accesibles desde una red local.
Detalles de la Vulnerabilidad y su Explotación
Mecanismo de Ataque "CallStranger"
CallStranger se enfoca en la funcionalidad SUBSCRIBE de UPnP. Normalmente, esta característica se utiliza para que los dispositivos se mantengan informados sobre cambios o eventos. Sin embargo, el exploit manipula esta capacidad para forzar a los dispositivos vulnerables a enviar grandes cantidades de datos no solicitados hacia un objetivo específico, contribuyendo a un ataque de denegación de servicio.
Acceso Remoto No Autentificado
Uno de los aspectos más críticos de esta vulnerabilidad es que permite a un atacante remoto, sin necesidad de autenticación previa, obtener control sobre dispositivos que deberían estar protegidos dentro de una red local. Esto abre la puerta a la utilización indebida de estos dispositivos para fines maliciosos.
Gestión y Solución de la Vulnerabilidad
Reporte y Actualización del Protocolo
La falla fue debidamente reportada a la Open Connectivity Foundation, la entidad encargada del mantenimiento del protocolo UPnP. Como respuesta, la fundación ha procedido a actualizar la especificación afectada para corregir el problema subyacente.
Recomendaciones para Usuarios y Fabricantes
Se recomienda a los usuarios finales que consulten con los fabricantes y desarrolladores de sus dispositivos para obtener información sobre la disponibilidad de parches y actualizaciones. La mejor medida de defensa preventiva contra esta vulnerabilidad es, sin duda, la deshabilitación del protocolo UPnP siempre que sea posible.
¿Qué son y Para qué Sirven los Exploits y Cómo Protegerse de sus Ataques?
Otras Vulnerabilidades Relevantes
En el contexto de la ciberseguridad, se publican diariamente diversas vulnerabilidades. A continuación, se detallan algunas de ellas:
Kaspersky Password Manager
- Resumen: Permite a atacantes locales escalar privilegios en instalaciones afectadas.
- Causas: Falsificación de solicitudes del lado del servidor.
Adobe Creative Cloud Installer
- Resumen: Un atacante local podría elevar privilegios en el instalador.
- Consecuencias: Elevación de privilegios en el instalador.
Windows Installer Service
- Resumen: Vulnerabilidad presente dentro del servicio de Windows Installer.
- Consecuencias: Un atacante podría escalar privilegios en versiones afectadas de Microsoft Windows mediante la ejecución de código con pocos privilegios.
Servicio UPnP (Puerto TCP 5000)
- Resumen: La vulnerabilidad existe dentro del servicio UPnP, que escucha en el puerto TCP 5000 de forma predeterminada.
- Consecuencias: Un atacante adyacente a la red podría ejecutar código arbitrario en los dispositivos afectados.
SSH
- Consecuencias: El atacante podría hacer uso de esta vulnerabilidad si logra conectarse a un dispositivo afectado a través de SSH.
- Mitigación: Cisco recomienda actualizar a la última versión lanzada, teniendo en cuenta que si las versiones anteriores de Cisco Policy Suite se actualizan a la versión 21.2.0, las claves SSH predeterminadas aún deben cambiarse manualmente.
GitLab CE/EE
- Resumen: Afecta a todas las versiones a partir de la 11.9. GitLab no validaba correctamente los archivos de imagen, resultando en ejecución remota de comandos.
- Consecuencias: Un atacante remoto podría ejecutar comandos arbitrarios como usuario 'git' debido al mal manejo de ExifTool de los archivos DjVu.
Ejecución de Código Remoto (RCE) y Path Traversal
- Causas: Ejecución de código remoto (RCE) y path traversal.
- Consecuencias: El atacante puede cargar un archivo .zip que contiene un Java Server Pages (JSP) WebShell haciéndolo pasar por un certificado X509: service.cer.
Kernel de Linux (net/tipc/crypto.c)
- Resumen: Problema en net/tipc/crypto.c dentro del kernel de Linux en versiones anteriores a 5.14.16.
- Consecuencias: Un atacante podría ejecutar código arbitrario dentro del kernel, comprometiendo en su totalidad el sistema afectado, ya que existe una falta de comprobación para el campo keylen del mensaje MSG_CRPPTO.
- Publicación: En página del proveedor.
Firewall PAN con GlobalProtect
- Resumen: Vulnerabilidad de corrupción de memoria que afecta al firewall de PAN que utiliza GlobalProtect portal VPN.
- Causas: Buffer Overflow.
- Mitigación: Paloalto recomienda aplicar los parches lanzados.
Kernel de Linux (XArray)
- Resumen: Arreglo para xas_create_range() cuando hay una entrada de orden múltiple presente.
- Problema: Si ya hay una entrada presente que es de orden >= XA_CHUNK_SHIFT al llamar a xas_create_range(), esta función malinterpretará la entrada como un nodo y desreferenciará xa_node->parent, generalmente provocando un bloqueo (panic).
- Síntomas: Error de protección general, probablemente para una dirección no canónica.
- Detalles Técnicos: El error se manifiesta en: RIP: 0010:xa_parent_locked include/linux/xarray.h:1207 [inline] RIP: 0010:xas_create_range+0x2d9/0x6e0 lib/xarray.c:725.
- Reproducibilidad: Determinísticamente reproducible una vez conocido el problema, pero producirlo en un núcleo en vivo requiere que khugepaged alcance una ejecución específica.
