UPnP-fähige Router ermöglichen Angriff aufs LAN

Weil die DSL-Router einiger Hersteller UPnP (Universal Plug and Play) auch auf der WAN-Schnittstelle unterstützen, ist es möglich, sie aus der Ferne über das Internet umzukonfigurieren und etwa als Surf-Proxy zu missbrauchen oder auf das interne LAN zuzugreifen. Entdeckt hat das Problem der IT-Sicherheitsexperte Daniel Garcia, der das Tool Umap zur Demonstration des Problems entwickelt und zum freien Download bereitgestellt hat.

Umap spürt UPnP-fähige Endgeräte wie DSL-Router und Kabelmodems über das Internet auf, indem er direkt die XML-Beschreibungen der Geräte abfragt. (Grundlagen zu UPnP liefert der Artikel "Netzwerke mit UPnP einrichten und steuern" auf heise Netze). Die dazu notwendigen URLs und Ports sind im Tool für einige Modelle fest programmiert. Damit umgeht die Software die sonst übliche Einschränkung, dass UPnP nur in lokalen Netzwerken funktioniert und dort per Multicast nach kompatibler Hardware sucht. Ganze Geräteserien von Edimax, Linksys, Sitecom oder Thomson (Speedtouch) antworten laut Garcia auf der WAN-Schnittstelle auf UPnP-Anfragen.

Umap scannt komplette Adresse-Blöcke und zeigt, welche Router auf UPnP-Anfragen antworten. Da UPnP von Haus aus keine Authentisierung kennt, ist ein Abfragen der XML-Beschreibung in jedem Fall möglich. Nach eigener Auskunft hat Garcia binnen kurzer Zeit über 150.000 Geräte per Scan über das Internet aufgespürt, die potenziell angreifbar sind. Per SOAP-Request verschickt der Scanner nach der ersten Kontaktaufnahme UPnP-Kommandos wie “AddPortMapping” oder “DeletePortMapping” an die Endgeräte. Diese Kommandos werden normalerweise von Geräten im LAN verwendet, um per NAT auf das Internet zugreifen zu können. Im Fall der genannten Hersteller lässt sich der Port aber auch über die WAN-Schnittstelle öffnen – und auf ein beliebiges Gerät im LAN lenken. Die dazu erforderlich interne IP-Adresse versucht Umap zu erraten.

Auf diesem Weg kann ein Angreifer das LAN scannen und auf Geräte im internen Netzwerk zugreifen. Das Mapping funktioniert laut Garcia sogar mit IP-Adressen im Internet, so dass ein Angreifer mit Umap einen fremden Internetanschluss für Umleitungen missbrauchen kann, etwa um anonym zu surfen oder illegale Inhalte herunterzuladen. Als Schutzmaßnahmen empfiehlt Garcia, UPnP zumindest für das WAN-Interface abzuschalten. Wenn das nicht geht, bleibt nur, die Technik ganz zu deaktivieren – was aber unter Umständen dazu führt, dass beispielsweise Spielekonsolen Probleme bei Internetverbindungen haben. (Uli Ries) / (dab)