La empresa de seguridad Rapid7 ha reportado el hallazgo de varios fallos de seguridad en el protocolo UPnP (Universal Plug and Play) que pueden bloquear el servicio y ejecutar código arbitrario, y permitir fugas de información sensitiva.
Similar al “Plug and Play” de los sistemas domésticos, UPnP está orientado a redes corporativas y mediante TCP/IP. Permite a los dispositivos en red habilitados descubrir de manera transparente la presencia de otros dispositivos en la red y compartir datos, comunicaciones y entretenimiento. Con UPnP el dispositivo sería detectado e instalado, sin tener que conectarse físicamente con la computadora que lo utiliza.
UPnP se encuentra en computadoras personales, impresoras, gateways de Internet, ruteadores, cámaras web, puntos de acceso Wi-Fi, dispositivos móviles, unidades de almacenamiento conectado a red (NAS), reproductores multimedia, y televisores inteligentes, entre otros. De forma predeterminada UPnP está habilitado en los sistemas Windows, Mac y muchas distribuciones Linux.
Rapid7 afirmó que alrededor de 40-50 millones de dispositivos de red habilitados están en riesgo por las vulnerabilidades. La investigación de los expertos de Rapid7 arrojó que 81 millones de direcciones IP únicas respondieron a la solicitud estándar de descubrimiento UPnP. 17 millones de estos sistemas también exponen el servicio SOAP API, que pueden permitir a un atacante atacar sistemas detrás del firewall. También se identificaron 6,900 productos con al menos una vulnerabilidad UPnP.
Para los expertos de Rapid7, dado el alto nivel de exposición y el impacto potencial de un ataque exitoso, es recomendable deshabilitar UPnP en todos los sistemas orientados al exterior y en los dispositivos que proporcionen una función crítica. Rapid7 facilita la herramienta ScanNow UPnP asi como módulos en Metasploit para detectar servicios UPnP vulnerables.
Las compañías deben verificar que los sistemas orientados al exterior no expongan UPnP hacia Internet, y en caso de que lo expongan entonces deshabilitar el servicio. Si no se puede deshabilitar el servicio, entonces reemplazar el dispositivo con un modelo que si lo permita.
Los usuarios domésticos y móviles de PC deben asegurarse de que la función UPnP en sus ruteadores domésticos y dispositivos de banda ancha móvil se ha desactivado. Pueden usar la herramienta ScanNow UPnP para identificar los dispositivos afectados. Si no se puede deshabilitar UPnP, entonces debe contactarse al proveedor del dispositivo para ver si hay una actualización disponible que permita deshabilitar UPnP. O reemplazar el equipo vulnerable con dispositivos que no soportan UPnP, o con otro dispositivo que proporcione la capacidad para desactivar UPnP.