Un ricercatore di sicurezza identifica alcune falle nel popolare
protocollo di comunicazione tra dispositivi di rete e testa decine di
milioni di unità. I risultati sono preoccupanti, e le eventuali patch
Roma -La tecnologia di comunicazione nota come Universal Plag and Play
(UPnP) è affetta da ben tre diverse tipologie di falle, e il numero di
dispositivi di rete vulnerabili si conta a decine di milioni: a
diffondere la (preoccupante) notizia è Rapid7, pubblicando uno studio realizzato dal creatore di Metasploit (e attuale CTO di Rapid7) HD Moore.
Lavorando
per mesi nella raccolta di indirizzi IP e nel test delle macchine
connesse a Internet, Moore ha identificato 80 milioni di IP unici che
hanno risposto ai pacchetti UPnP inviati dal ricercatore: di questi, 50
milioni sono risultati suscettibili alle vulnerabilità identificate
nello studio.
UPnP è composto da una serie di protocolli usati
per facilitare la connessione e l'enumerazione in rete di ogni sorta di
dispositivi elettronici, dai gadget dell'elettronica di consumo fino ai
router domestici e non. Le falle sono state identificate nel protocollo
di presentazione (SSDP) e nelle implementazioni HTTP e SOAP (Simple
Object Access Protocol) di UPnP.
I rischi di sicurezza generati dalle vulnerabilità potrebbero portare -
nel peggiore dei casi - a impostare una porta aperta all'interno di un
firewall, e anche se al momento gli exploit sono difficili da realizzare
non è difficile immaginare la crescita di interesse a riguardo da parte
di hacker e cyber-criminali.
Le falle di UPnP rappresentano un problema di livello industriale,
interessando 6.900 diversi dispositivi di rete realizzati da 1.500
produttori: Rapid7 ha collaborato con lo US-CERT per avvertire il
maggior numero di aziende interessate, e in attesa di patch e firmware
aggiornati - laddove sarà possibile applicarli - il consiglio per
amministratori IT e proprietari di router domestici è quello di
disabilitare UPnP quanto prima.
Alfonso Maruccia
Articolo distribuito con licenza cc-by-nc-sa
Nessun commento:
Posta un commento