গবেষক: UPnP ত্রুটিগুলি লক্ষ লক্ষ নেটওয়ার্ক ডিভাইসকে দূরবর্তী হামলা থেকে প্রকাশ করে

দশ ইউএনএনপি (ইউনিভার্সাল প্লাগ অ্যান্ড প্লে) প্রোটোকল স্ট্যান্ডার্ড, নিরাপত্তা গবেষকগণ তাদের বাস্তবায়নে বিপজ্জনক ত্রুটিগুলির কারণে রাউটার, প্রিন্টার, মিডিয়া সার্ভার, আইপি ক্যামেরা, স্মার্ট টিভিসহ আরো অনেক নেটওয়ার্ক-সক্ষম ডিভাইসের ইন্টারনেটে আক্রমণ হতে পারে। র্যাপিড 7 টি মঙ্গলবার একটি গবেষণাপত্রে বলা হয়েছে।

ইউএনএনপি নেটওয়ার্কে সংযুক্ত ডিভাইসগুলিকে একে অপরকে আবিষ্কার করতে এবং স্বয়ংক্রিয়ভাবে কাজ কনফিগারেশন স্থাপন করে যা ডেটা শেয়ারিং, মিডিয়া স্ট্রিমিং, মিডিয়া পোর্ট layback নিয়ন্ত্রণ এবং অন্যান্য সেবা। এক সাধারণ অবস্থায় একটি কম্পিউটারে চলমান একটি ফাইল-শেয়ারিং অ্যাপ্লিকেশন, একটি নির্দিষ্ট পোর্ট খুলতে এবং ইন্টারনেট ব্যবহারকারীদের কাছে তার ফাইল-শেয়ারিং পরিষেবাটি খুলতে কম্পিউটারের স্থানীয় নেটওয়ার্ক ঠিকানায় এটির ইউপিএনপি মাধ্যমে রাউটারকে বলতে পারে।

UPnP মূলত স্থানীয় নেটওয়ার্কগুলির মধ্যে ব্যবহার করা হচ্ছে। যাইহোক, Rapid7 থেকে নিরাপত্তা গবেষকরা 80 মিলিয়ন অনন্য পাবলিক আইপি (ইন্টারনেট প্রোটোকল) ঠিকানা পেয়েছেন যা ইন্টারনেটের উপর UPnP অনুসন্ধানের অনুরোধের জবাব দেয়, গত বছরের জুন থেকে নভেম্বর পর্যন্ত স্ক্যান করা হয়েছিল।

[আরও পড়ুন: কিভাবে ম্যালওয়ার অপসারণ করবেন আপনার উইন্ডোজ পিসি]

অধিকন্তু, তারা দেখেছে যে ২0 শতাংশ, বা 17 মিলিয়ন, তাদের আইপি ঠিকানাগুলি ইন্টারনেটের সাথে UPnP SOAP (সিম্পল অবজেক্ট অ্যাক্সেস প্রোটোকল) সেবা উন্মুক্ত করে দিচ্ছে এমন ডিভাইসগুলির সাথে সম্পর্কিত। এই পরিষেবাটি আক্রমণকারীরা ফায়ারওয়ালের পিছনে সিস্টেমগুলিকে লক্ষ্য করতে পারে এবং তাদের সম্পর্কে সংবেদনশীল তথ্য প্রকাশ করতে পারে, র্যাপিড 7 গবেষকরা বলেন।

UPnP আবিষ্কারের প্রতিক্রিয়ার উপর ভিত্তি করে গবেষকরা অনন্য ডিভাইসগুলিকে ফিঙ্গারপ্রিন্ট করতে সক্ষম হয়েছিল এবং ইউএনএনপি লাইব্রেরিটি কীভাবে ব্যবহার করছে তা আবিষ্কার করে। তারা দেখেছিল যে তাদের এক চতুর্থাংশের বেশি ছিল একটি পোর্টেবল UPnP SDK নামক লাইব্রেরির মাধ্যমে UPnP প্রয়োগ করা।

আটটি দূরবর্তীভাবে শোষিত দুর্বলতাগুলি পোর্টেবল UPNP SDK- এ সনাক্ত করা হয়েছে, যার মধ্যে দুইটি রিমোট কোডের মৃত্যুদন্ডের জন্য ব্যবহার করা যেতে পারে। ।

"পোর্টেবল UPnP SDK- এ আমরা চিহ্নিত দুর্বলতাগুলি সংস্করণ 1.6.18 (আজ প্রকাশিত) হিসাবে সংশোধন করা হয়েছে, কিন্তু প্রতিটি অ্যাপ্লিকেশন এবং ডিভাইস বিক্রেতারা এই পণ্যগুলি তাদের পণ্যগুলির মধ্যে অন্তর্ভুক্ত করার আগে অনেক সময় লাগবে, "র্যাপিড 7-এর প্রধান নিরাপত্তা কর্মকর্তা মো। মুর, মঙ্গলবার এক ব্লগ পোস্টে বলেছেন।

স্ক্রিনের সময় সনাক্তকৃত ২3 মিলিয়ন আইপি অ্যাড্রেসগুলি ডিভাইসের সাথে সম্পর্কিত, যা পোর্টেবল ইউএনএনপি এসডিকি দুর্বলতাগুলির মাধ্যমে একটি এককভাবে ডিজাইন করে পাঠানো যায়। মুর অনুযায়ী তাদের UDP প্যাকেট।

পরিষেবাগুলি এবং রিমোট কোড এক্সিকিউশন আক্রমনের ক্ষেত্রে ব্যবহার করা যেতে পারে এমন অতিরিক্ত দুর্বলতাগুলিও UPnP লাইব্রেরিতে বিদ্যমান রয়েছে লিড মিনিউপপ। যদিও ২008 এবং ২009 এ মুক্তি পাওয়া মিনিউপএনপি সংস্করণগুলির মধ্যে এই দুর্বলতাগুলি ইন্টারনেট-উন্মুক্ত UPnP ডিভাইসগুলির 14 শতাংশ দুর্বল MiniUPnP 1.0 সংস্করণ ব্যবহার করে, Rapid7 গবেষকরা বলেন।

অন্যান্য সমস্যাগুলি সর্বশেষ সংস্করণে চিহ্নিত করা হয়েছে মিনিউপএনপি 1.4, কিন্তু লাইব্রেরির বিকাশকারী তাদের মোকাবেলা করার জন্য একটি প্যাচ প্রকাশ না করা পর্যন্ত তাদের প্রকাশ্যে প্রকাশ করা হবে না। তারা বলেন।

"সব জানানো হয়েছে, আমরা 6,900 টি পণ্যের সংস্করণ সনাক্ত করতে পেরেছি যা UPnP এর মাধ্যমে ঝুঁকিপূর্ণ ছিল" মুর বলেন। "এই তালিকাটি 1,500 বিক্রেতাদের অন্তর্ভুক্ত এবং শুধুমাত্র অ্যাকাউন্ট ডিভাইসগুলি গ্রহণ করে যা ইউএনএনপিএসএপি সেবাটি ইন্টারনেটে উন্মুক্ত করে দেয়, এটি একটি গুরুতর দুর্বলতা এবং নিজেই।"

র্যাপিড 7 পোর্টেবল ইউএনএনপি এসডিএকে ত্রুটিগুলির জন্য তিনটি পৃথক তালিকা তালিকা প্রকাশ করেছে, মিনিউপএনপি ত্রুটিগুলি, এবং যা ইন্টারনেটে UPnP SOAP সেবা প্রকাশ করে।

বেলকিন, সিসকো, নেটগায়ার, ডি-লিংক এবং আসুস, যা সবগুলি র্যাপিড 7 দ্বারা প্রকাশিত তালিকা অনুযায়ী ঝুঁকিপূর্ণ ডিভাইসগুলি, মঙ্গলবার পাঠানো মন্তব্যের জন্য অবিলম্বে অনুরোধের জন্য প্রতিক্রিয়া জানায়নি।

মুর বিশ্বাস করে যে অধিকাংশ ক্ষেত্রে নেটওয়ার্ক ডিভাইসগুলি আর নেই বিক্রি করা হবে না আপডেট করা হবে এবং অনির্দিষ্টকালের জন্য দূরবর্তী হামলাগুলিতে উন্মুক্ত থাকবে না যদি না তাদের মালিকরা ম্যানুয়ালি UPnP কার্যকারিতা অক্ষম করে বা প্রতিস্থাপন করে।

"এই ফলাফলগুলি প্রমাণ করে যে অনেকগুলি বিক্রেতা এখনও ডিজাইনিং ডিভাইসের মূল বিষয়গুলি শিখেননি যা ডিফল্ট একটি নিরাপদ এবং শক্তসমর্থ কনফিগারেশন, "টমাস Kristensen বলেন, দুর্বলতা গবেষণা এবং ব্যবস্থাপনা ফার্ম Secunia প্রধান নিরাপত্তা অফিসার। "সরাসরি ইন্টারনেট সংযোগের উদ্দেশ্যে করা ডিভাইসগুলি ডিফল্টভাবে, যেমন ইউএনএনপি, যা কেবলমাত্র 'বিশ্বস্ত' নেটওয়ার্কগুলির জন্যই বিবেচিত হয় এমন কোনও পরিষেবা নয়, তাদের পাবলিক ইন্টারফেসগুলিতে কোন সার্ভিস চালানো উচিত নয়।"

Kristensen বিশ্বাস করে যে বেশিরভাগ দুর্বল ডিভাইস তারা প্রতিস্থাপিত না হওয়া অবধি তাদের প্রতিস্থাপিত হতে পারে, এমনকি তাদের নির্মাতারা ফার্মওয়্যার আপডেট প্রকাশ করে।

অনেক পিসি ব্যবহারকারীরা পিসি সফটওয়্যার আপডেট করে না যা তারা প্রায়ই ব্যবহার করে এবং পরিচিত হয়, তিনি বলেন। ঝুঁকিপূর্ণ নেটওয়ার্ক ডিভাইসের ওয়েব ইন্টারফেস খুঁজে পেতে ফায়ারওয়্যার আপডেট প্রাপ্তি এবং পুরো আপডেট প্রসেসটি চালু হওয়ার ফলে সম্ভবত অনেক ব্যবহারকারীর জন্য ভয়ঙ্কর হতে পারে।

Rapid7 গবেষণা পত্রের মধ্যে রয়েছে ইন্টারনেট পরিষেবা প্রদানকারীর জন্য নিরাপত্তা সুপারিশ, ব্যবসার এবং হোম ব্যবহারকারীদের জন্য।

UPPP- কে UPnP ক্ষমতা অক্ষম করতে বা নিরাপদভাবে কনফিগার করা হয়েছে এমন ডিভাইসগুলি প্রতিস্থাপন করার জন্য গ্রাহক ডিভাইসগুলিতে কনফিগারেশন আপডেট বা ফার্মওয়্যার আপডেটগুলি ধাক্কা দেওয়ার পরামর্শ দেওয়া হয়েছিল এবং ইউএনএনপি থেকে ইন্টারনেট।

"হোম ও মোবাইল পিসির ব্যবহারকারীদের অবশ্যই নিশ্চিত করা উচিত যে তাদের হোম রাউটার এবং মোবাইল ব্রডব্যান্ড ডিভাইসগুলিতে ইউএনএনপি ফাংশন নিষ্ক্রিয় করা হয়েছে"।

নিশ্চিত করার জন্য যে কোনও বহিরাগত ডিভাইস ইউপিএনপি ইন্টারনেটে, তাদের নেটওয়ার্কগুলিতে পাওয়া সমস্ত UPnP- সক্ষম ডিভাইসের সম্ভাব্য নিরাপত্তার প্রভাব সম্পর্কে সতর্কতার সাথে পর্যালোচনা করার পরামর্শ দেওয়া হয়েছিল - নেটওয়ার্ক প্রিন্টার, আইপি ক্যামেরা, স্টোরেজ সিস্টেম, ইত্যাদি ইত্যাদি - এবং তাদের অভ্যন্তরীণ নেটওয়ার্ক থেকে বিভাজন বিবেচনা না করা পর্যন্ত ফার্মওয়্যার আপডেট প্রস্তুতকারকের থেকে পাওয়া যায় না।

Rapid7 একটি বিনামূল্য সরঞ্জাম যা ইউনিভার্সাল প্লাগ এবং প্লে জন্য স্ক্যানউইও মুক্তি দেয়, সেইসাথে Metasploit অনুপ্রবেশ পরীক্ষা কাঠামোর জন্য একটি মডিউল, যেটি নেটওয়ার্কের মধ্যে চলমান দুর্বল UPnP পরিষেবাগুলি সনাক্ত করতে ব্যবহার করা যেতে পারে।

1:45 অপরাহ্নে আপডেট করা হয়েছে পিটি সেই তারিখে সংশোধন করতে পারে যার উপর মন্তব্যের জন্য অনুরোধগুলি দুর্বল ডিভাইসগুলির সাথে কোম্পানিতে পাঠানো হয়েছিল।