UPnP协议CallStranger漏洞影响数百万设备

UPnP全称为Universal Plug andPlay，即通用即插即用，UPnP允许各种网络设备在没有任何特殊设置或配置的情况下进行通信，使设备彼此可自动连接和协同工作。例如新的打印机插上电并连接网络之后，局域网内的计算机就知道了打印机的型号等信息，方便进行驱动安装。

UPnP DeviceArchitecture 2.0[1]中关于UPnP的NT与CALLBACK订阅模块有如下格式：

publisher path一般为订阅的服务，以GENA格式存放在设备的某个XML文件中，类似下图。

整个订阅流程大概可以简化如下图。

下图为Intel UPnP SDK中检查CALLBACK URL的相关代码，create_url_list函数仅仅检查了URL是否合法，并没有确定其是否合理。

4.1 SYN洪水攻击

假设我们已经通过一些方法(如在局域网广播等)获得了某些设备UPnP服务的eventSubURL，下面就可以向UPnP设备发起一项订阅服务，格式如下: 

SUBSCRIBE eventSubURLHTTP/1.1

NT:upnp:enent

Callback: deliveryURL

SYN数据包的数量根据设备操作系统和配置的不同而不同，利用某品牌智能电视对受害设备进行SYN洪水攻击测试，测试结果如下图所示。

该智能电视每收到一个CALLBACK Value就会发送8个SYN数据包尝试连接受害设备。若我们每个CALLBACK的URL值为25字节，那么带宽放大因子便可以达到8*60/25=19.2。因为CALLBACK Value的个数是没有限制的，所以理论上是可以无限放大的。

4.2 TCP反射放大攻击

Windows Media Player在播放视频时也有相应的UPnP服务，我们获取到的UPnP服务列表如下：

我们选取其中一项服务来测试一下。攻击者只需要发送210字节订阅包，如下图。

受害设备之后就会收到近700字节的数据包，放大因子达三倍多。其放大效果一般与UPnP设备的操作系统和厂商配置有关。

4.3 数据逃逸

在RFC7230的3.1.1节[2]中，并没有对Request Line的长度做任何限制，这使得攻击者可以将数据通过Callback的URL值传输出去。如下图，某品牌智能电视一次请求就传输了2500KB的数据。

4.4 端口扫描 

如前文提到的，若CALLBACK定义了不止一个URL，则会按顺序尝试TCP连接，直到有一个成功，那么这个规则显然也可以用于端口扫描，如下图所示，假设攻击者需要扫描IP为192.168.1.13的555端口是否开启，那么攻击者只需要将某个可以监控的URL放置在后即可确认，若攻击者收到连接请求，则端口未开启，反之，则开启。

• 检查可疑设备，如果没有必要，则关闭UPnP端口。
• 在网关等设备中审计NOTIFYHTTP数据包。

在最新更新的UPnP协议规范[1]4.1.1节中，可以看出开发者限制了订阅事件的源IP和目标IP都必须在内网中，这从一定程度上修复了该漏洞。