CallStranger

CallStranger

このスクリプトは、CallStranger（CVE-2020-12695）の脆弱性を検査するために、Yunus Çadırcı（https://twitter.com/yunuscadirci）によって作成されました。攻撃者はこの脆弱性を以下の目的に利用できます:

• DLPを回避してデータを外部に送信する（データ窃取）
• 増幅反射型TCP DDoS / SYN Floodの送信元として、インターネットに公開された数百万台のUPnPデバイスを利用する
• インターネットに公開されたUPnPデバイスから内部ポートをスキャンする このスクリプトはデータ外部送信のシミュレーションのみを行います。 詳細情報は https://www.callstranger.com https://kb.cert.org/vuls/id/339275 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12695 で確認できます。 ベースとなるUPnP通信には https://github.com/5kyc0d3r/upnpy をわずかに変更したバージョンを使用しています。

CallStranger 脆弱性

何十億ものUPnPデバイスで発見されたCallStranger脆弱性は、（適切なDLP/境界セキュリティ対策があっても）データの外部送信や、ネットワークのスキャン、さらにはネットワークをDDoS攻撃に参加させるために悪用される可能性があります。 この脆弱性（CallStranger）は、UPnPのSUBSCRIBE機能におけるCallbackヘッダー値が攻撃者に制御可能であることに起因し、SSRFに似た脆弱性を生み出します。この脆弱性は、インターネットに公開された数百万台のデバイスと、LAN上の何十億台ものデバイスに影響を及ぼします。この脆弱性は以下の目的で利用される可能性があります:

• DLPやネットワークセキュリティデバイスを回避してデータを外部送信する
• 増幅反射型TCP DDoSの送信元として、インターネットに公開された数百万台のUPnPデバイスを利用する（https://www.cloudflare.com/learning/ddos/ssdp-ddos-attack/ とは異なります）
• インターネットに公開されたUPnPデバイスから内部ポートをスキャンする

考えられる対策:

• 不要なUPnPサービスを無効化する。特にインターネットに公開されたデバイス/インターフェースにおいて重要です。
• イントラネットおよびサーバーネットワークを確認し、UPnPデバイス（ルーター、IPカメラ、プリンター、メディアゲートウェイなど）がデータの外部送信を許可していないことを確認する。
• ネットワークセキュリティログを評価し、この脆弱性が脅威アクターによって悪用されていないか確認する。
• ISP/DDoS対策ベンダーに連絡し、そのソリューションがUPnP SUBSCRIBE（HTTP NOTIFY）によって生成されるトラフィックをブロックできるか確認する。 これはプロトコル脆弱性であるため、ベンダーがパッチを提供するまでに長い時間がかかる場合があります。詳細情報、影響を受けるデバイス、ソフトウェア、およびアップデート情報については、https://callstranger.com と https://kb.cert.org/vuls/id/339275 を参照してください。CVE-2020-12695 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12695 がCallStrangerに割り当てられています。 OCFはこの脆弱性を修正するため、2020年4月17日にUPnP仕様を更新しました。新しい仕様は https://openconnectivity.org/upnp-specs/UPnP-arch-DeviceArchitecture-v2.0-20200417.pdf で確認できます。

インストール

sudo python3 setup.py install

必要な場合

sudo pip3 install -r requirements.txt

cryptography requests termcolor

使い方

CallStrangerディレクトリに移動し、Python3で実行するだけです（Windows 10上のPython 3.7.5、Kali 2020.2上のPython 3.8.2でテスト済み）。 現在のサブネットをスキャンしてテストする場合:

python3 CallStranger.py

単一デバイスをテストする場合:

python3 CallDirect.py http://DeviceDocumentPath

例: python3 CallDirect.py http://192.168.1.1:37215/upnpdev.xml

スクリプトの仕組み

1. LAN上のすべてのUPnPデバイスを検出します
2. すべてのUPnPサービスを検出します
3. すべてのサブスクリプションエンドポイントを検出します
4. これらのエンドポイントを暗号化し、UPnP Callbackを介して検証サーバーへ送信します
5. 暗号化はすべてクライアント側で行われるため、サーバーはこのエンドポイントを確認できません
6. 検証サーバーから暗号化されたサービス一覧を取得し、クライアント側で復号します
7. 検出されたUPnPサービスと検証済みのサービスを比較します

出力例