Wykryto nową lukę – CallStranger. Może dotyczyć nawet miliardów urządzeń

Cyberprzestępcy wykorzystujący lukę CallStranger mogą zaatakować urządzenia takie jak: komputery, routery, drukarki, konsole do gier, kamery czy telewizory. Poprzez opisywaną przez Bitdefender podatność, mogą wykradać dane, skanować porty LAN, a nawet zamieniać komputery w boty.

CallStranger to usterka protokołu UPnP, która pozwala komunikować się pomiędzy sobą urządzeniom znajdującym się w tej samej sieci. W związku z tym, że protokół jest adresowany dla zamkniętych i zaufanych sieci, nie wymaga uwierzytelniania. Routery zwykle mają wyłączony protokół UPnP, pozostawiając użytkownikom opcje włączenia. Sytuacja wygląda inaczej w przypadku telewizorów typu smart, które są sprzedawane z uruchomioną funkcją. Wada wykryta przez specjalistów bezpieczeństwa dotyczy wartości nagłówka wywołania zwrotnego, który może być kontrolowany przez napastnika.

-  Obawiam się, że luka CallStranger może istnieć przez długie lata. Producenci po pewnym czasie przestają wspierać urządzenia i nie wydają uaktualnień. W rezultacie wielu użytkowników nie dokona aktualizacji, a ich sprzęt pozostanie podatny na ataki. - uważa Mariusz Politowicz z firmy Marken dystrybutora rozwiązań Bitdefender w Polsce.

Open Connectivity Foundation (OCF), organizacja odpowiadająca za bezpieczeństwo UPnP poinformowała o wprowadzeniu aktualizacji. Ale eksperci przyznają, że droga pomiędzy wydaniem poprawki przez OCF i działaniami producentów może być bardzo długa.

• Niektórzy dostawcy urządzeń wymienieni w poradniku CallStranger wydali lub właśnie wydają poprawki. Użytkownicy muszą sprawdzić czy łatka jest dostępna i zainstalować ją tak szybko, jak to możliwe. Jednak nie możemy zapominać, że jednym z największych dostawców routerów są providerzy, często dostarczający klientom niestandardowe rozwiązania. Takie luki stawiają usługodawców w niepewnej sytuacji, ryzykując posiadanie dużej liczby podatnych na ataki routerów w swojej infrastrukturze, które mogą stać się częścią sieci botów DDoS - zauważa Mariusz Politowicz.

Dostawcy systemów bezpieczeństwa oferują dla ISP (Internet Service Provider) kompleksowe rozwiązania pozwalające kontrolować ruch sieciowy, a tym samym sprzęt klientów i dokonywać modyfikacji bez potrzeby wycofywania zagrożonych urządzeń.