1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › libupnp: Schwere UPnP-Lücke in…
  6. Th…

UPnP selber ist eine Sicherheitslücke

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


  1. Vollkommen falsch!

    Autor: Bouncy 30.01.13 - 14:09

    a user schrieb:
    --------------------------------------------------------------------------------
    > gerade im privaten umfeld wird eine port-freigabe so gut wie nie gebracuht.
    > aber du willst jedem programm, welches der private nutzer so unschuldig
    > aus dem netz lädt die mgöcihkeit geben ports offen zu legen? super idee im
    > PRIVATEN umfeld.
    Also: wenn ein Schadprogramm die Möglichkeit hat über UPnP den Router zu konfigurieren, dann hat es zu dem Zeitpunkt bereits einen Rechner kompromittiert. Dann ist es zu spät, dann hilft auch keine Firewall mehr. Denn wie du weißt, ist a) Netzwerkverkehr der von Innen initiiert wird in den privaten Routermodellen immer zugelassen und läßt danach auch eingehende Verbindungen zu und b) ist kaum ein Programm so unflexibel, dass es nicht bereits offene Ports nutzen könnte, wenn es darauf angewiesen ist. Keine zusätzlichen Ports zu öffnen ist KEIN HINDERNIS für die Kommunikation wenn ein Programm einen internen Rechner bereits befallen hat!

  2. Re: UPnP selber ist ein Sicherheitsgewinn

    Autor: Bouncy 30.01.13 - 14:13

    Baron Münchhausen. schrieb:
    --------------------------------------------------------------------------------
    > Also wenn eine Tür einfach so von jedem geöffnet werden kann, nach dem
    > Einbruch aber automatisch wieder geschlossen wird ist es ein
    > Sicherheitsgewinn. Alles klar! Du arbeitest bei Mega?
    Ich hätte nichts dagegen bei Mega zu arbeiten, im Gegensatz zu dir kennen sich die Leute da mit der Materie aus. Und der Vergleich ist dermaßen falsch, das gibt's ja nicht. UPnP - abseit dieses Bugs jetzt - erlaubt nur die Türöffnung, wenn der Einbrecher schon im Haus ist. Du hast also schon versagt mit deiner Sicherheitsstrategie, wenn Türöffnung ein Thema ist...

  3. Re: UPnP selber ist eine Sicherheitslücke

    Autor: Frauke 05.11.14 - 04:07

    @ Alle,
    Hallo, so wie es hier steht, habe ich das ebenfalls mal (von einer kundigen Person) gehört und mich seither daran gehalten. Ich, wissbegieriger "Ottonormaluser", bin zufällig auf diese Seite gestoßen, weil ich gesucht habe, ob es für UPnP irgendwelche Standardports gibt. - Letzteres nur so zur Sicherheit um mein Bild zu überprüfen.
    Hier gibt es offenbar sehr viele Kundige, so dass ich hier mal mein "Ottonormaluser - Szenario" darstellen möchte:
    Ich habe irgendwann eine IP Cam gekauft, mich in die Materie eingearbeitet und das Ding auch zum Laufen bekommen. - Ohne UPnP!
    Den Livestream konnte ich nach wochenlangen Recherchen schließlich auch auf einer Festplatte speichern lassen, wobei der PC natürlich ausgeschaltet (nicht im Standby!) war. Dazu genutzt hatte ich - lt. Ratgeber - den VLC Player, der auf einem XP - PC installiert war. Irgendwo im Netz hatte ich damals eine Anleitung dazu gefunden, wie man das mit VLC (per streaming und quasi automatisch) hinbekommt, aber leider habe ich diese Anleitung nicht mehr gefunden, als ich sie dringend brauchte.

    Irgendwann nämlich war Schluss mit den schönen Kameravideos.
    Es ging gar nichts mehr, weder Bilder per Mail, noch Videos. Da meine Tests schließlich ergaben, dass die Kamera nicht kaputt ist, begann meine Suche im Netz erneut und blieb erfolglos.
    Natürlich habe ich den Mailversand alsbald wieder einrichten können, aber eben nicht mit meinem kostenpflichtigen Mailkonto. - Egal, zumindest das funktionierte wieder!
    Mit den Aufzeichnungen auf Festplatte sah das bislang (mehrere Monate) schon wieder anders aus. Klar, ich bekomme ein Video auf Festplatte (das macht die Kamera) oder aber auch VLC. -
    Beide allerdings nur wenn: a) der PC eingeschaltet ist, b) der Browser geöffnet und ich c) die Livebilder im geöffneten Browser auch sehen kann. Sch.. - Bedingungen also.

    Bei der Suche stieß ich dann irgendwo auf die Portfreigaben und konnte mehrfach (zu vergleichbaren Kameras) lesen, dass (neben TCP) auch ein UDP Port geöffnet werden müsste.
    Ich hatte (und habe) nur eine Portfreigabe für die Kamera: TCP - Port (nicht Standard) an (statische) IP der Kamera und eben denselben Port. (Genau so, wie im Routerhandbuch beschrieben.) Das funktionierte wie gesagt sehr lange und als es unter XP nicht mehr ging, stand ohnehin der (späte) Wechsel des Betriebssystems (Win 7 x64) an.
    Ich sah zwar keinen rechten Grund nun einen UDP Port (Steuerung ging zuvor ja ohne) freizugeben, habe das aber dennoch ausprobiert und als das nicht das gewünschte Ergebnis brachte, ging die Recherche eben weiter. Als ich dann irgendwann in einer Portliste ablesen konnte, dass für den meinerseits gewählten UDP Port (gleiche Portnummer wie TCP Port) gar kein UDP angegeben ist, dachte ich, ich könnte dann für UDP mal mit anderen Portnummern experimentieren. - Alles (im Hinblick auf meine Wünsche) erfolglos!
    Aufgegeben habe ich natürlich nicht mit meinen Experimenten.
    Als ich gestern gerade (mal wieder - schließlich lässt die Konzentration irgendwann nach) sämtliche Kombinationen aus den diversen Kameraeinstellungen (Livebild im Browser - oder eben auch nicht, Zeitplan, Alarmeingang etc.) und Portfreigaben (mal die Eine, mal die Andere aktiviert) durchprobierte, kam mir die Idee mit UPnP. -
    Das kann die Kamera und der Router. Also habe ich das Ganze heute nochmal mit UPnP probiert. Das Ergebnis war vielversprechend, denn der Router zeigte mir schön an, welche Ports gerade freigegeben wurden.
    Das waren fast ausschließlich UDP Ports und nur in zwei Fällen wurde tatsächlich (der meinerseits vorgegebene) TCP Port geöffnet, den ich natürlich vorher geschlossen hatte. - Komisch nur, dass der Kamerahersteller (das Handbuch ist dürftig) mit keiner Silbe Portfreigaben für UDP erwähnte.
    Auch komisch: je nach Kameraeinstellungen (?) wurden da im Laufe der Tests unterschiedliche UDP Ports (z.B. 51663, 50383, 54269) freigegeben, wobei ich natürlich nicht sicher war, ob das tatsächlich mit den Kameraeinstellungen zu tun hatte, oder auf die zwischenzeitlichen Anfragen durch UPnP, von denen ich gelesen hatte, zurückzuführen war. Außerdem fiel mir auf, dass gelegentlich eben auch ein (ebenfalls wechselnder) UDP Port für den PC freigeschaltet wurde, so dass ich dachte, dass das Problem evtl. nicht bei der Kamera liegt, sondern vielleicht an den Portfreigaben für den PC.
    Also habe ich auch damit experimentiert und dann versucht nachzuforschen, bin auf diesen Threat gestoßen und beschloss zur Ablenkung mal meine UPnP Erfahrungen kund zu tun.
    Heute wollte ich im Grunde nur wissen, welchen UDP Port ich günstiger- und versuchsweise satt des meinerseit gewählten als Portfreigabe im Router einrichten könnte, obgleich keiner der per UPnP freigeschalteten Ports etwas an meinem Aufzeichnungsproblem änderte.
    Was ich grundsätzlich will, ist - nachdem ich ein bisschen mehr darüber gelesen habe - kein UPnP.
    DHCP nutze ich auch nicht, MAC Filter dagegen gern. - Aber wie das manchmal so ist, spielen die Geräte (z.B. das Handy, das ständig die MAC wechselt) nicht immer mit: dann muss man sich eben mit dem gelegentlichen Wechsel der Routereinstellungen anfreunden.
    Wie gesagt, ich halte mich für einen "Ottonormal - Nutzer", aber für Einen, der zumindest versucht, den Dingen auf den Grund zu gehen, wenn es die Zeit erlaubt.
    Nur, muss das eben - wie gestern und heute festgestellt - nicht unbedingt zur Problemlösung oder neuen Erkenntnissen beitragen. Es kann in Ermangelung von Wissen, Erfahrung oder auch Verständnis ebenso weitere Fragen (oder auch Problemkreise) eröffnen:
    mein "Neuer" heißt seit heute DynDNS, das trotz geglückter Aktualisierung Fehler meldet (sagt der Router). Auch das funktionierte bislang einwandfrei und nun habe ich die nächste "Baustelle".
    Obwohl ich bisher dachte, dass ich das nur in den seltenen Fällen bräuchte, in denen ich von einem entfernten PC aus über das Internet die Livebilder der Kamera betrachten möchte, bin ich mir jetzt gerade gar nicht mehr so sicher. (Kann der Computer (bzw. VLC) den Livestream der Kamera mit eingebautem Webserver "sehen", wenn ich dem sage, wohin (http://IP:Port/videostream.cgi?user=...&pwd=...&resolution=...) er gucken muss, obwohl er keine DynDNS Hilfe hat???) -
    Vielleicht aber brauche ich jetzt einfach nur eine Mütze Schlaf und kann danach wieder halbwegs klar denken!
    Ehe ich's vergesse, schnell noch meine persönlich Denkhilfe für die nächste Experimentiersitzung: http://(i n t e r n e) IP:Port/video.....

    Gute Nacht

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Südpfalzwerkstatt gGmbH, Offenbach
  2. Interhyp Gruppe, München
  3. Bundeskriminalamt, Wiesbaden
  4. über duerenhoff GmbH, München

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Top-Angebote
  1. ab 21,00€
  2. (aktuell u. a. Toshiba-Festplatte mit 10 TB für 279,00€ (Bestpreis!), Be quiet Silent Base 801...


Haben wir etwas übersehen?

E-Mail an news@golem.de


Star Wars Jedi Fallen Order im Test: Sternenkrieger mit Lichtschwertkrampf
Star Wars Jedi Fallen Order im Test
Sternenkrieger mit Lichtschwertkrampf

Sympathische Hauptfigur plus Star-Wars-Story - da sollte wenig schiefgehen! Nicht ganz: Jedi Fallen Order bietet zwar ein stimmungsvolles Abenteuer. Allerdings kämpfen Sternenkrieger auch mit fragwürdigen Designentscheidungen und verwirrend aufgebauten Umgebungen.
Von Peter Steinlechner

  1. Star Wars Jedi Fallen Order Mächtige und nicht so mächtige Besonderheiten

Raumfahrt: Mehr Geld für die Raumfahrt reicht nicht aus
Raumfahrt
Mehr Geld für die Raumfahrt reicht nicht aus

Eine mögliche leichte Senkung des deutschen Beitrags zur Esa bringt nicht die Raumfahrt in Gefahr. Deren heutige Probleme sind Resultat von Fehlentscheidungen, die hohe Kosten und Ausgaben nach sich ziehen. Zuerst braucht es Reformen statt noch mehr Geld.
Ein IMHO von Frank Wunderlich-Pfeiffer

  1. Space Rider Neuer Anlauf für eine eigene europäische Raumfähre
  2. Vega Raketenabsturz lässt Fragen offen

Handelskrieg: Zartbittere Zeiten für Chinas Technikbranche
Handelskrieg
Zartbittere Zeiten für Chinas Technikbranche

"Bitterkeit essen" heißt es in China, wenn schlechte Zeiten überstanden werden müssen. Doch so schlimm wie Donald Trump es darstellt, wird der Handelskrieg mit den USA für Chinas Technikbranche wohl nicht werden.
Eine Analyse von Finn Mayer-Kuckuk

  1. Smarter Türöffner Nello One soll weiter nutzbar sein
  2. Bonaverde Berliner Kaffee-Startup meldet Insolvenz an
  3. Unitymedia Vodafone plant großen Stellenabbau in Deutschland

  1. Valve: Half-Life schickt Alyx in City 17
    Valve
    Half-Life schickt Alyx in City 17

    Zwischen dem ersten und dem zweiten Half-Life sind Spieler im Vollpreisspiel Half-Life Alyx als Widerstandskämpferin unterwegs - laut Valve mit jedem PC-basierten Virtual-Reality-Headset.

  2. Mobilfunk: Trump will Apple als Ausrüster für 5G in den USA
    Mobilfunk
    Trump will Apple als Ausrüster für 5G in den USA

    Apple soll laut US-Präsident Trump den nationalen Notstand für die Telekommunikation beenden und 5G-Ausrüster werden. Der iPhone-Hersteller hat darauf bisher nicht reagiert.

  3. Lime: E-Scooter-Anbieter stellt Kunden Bußgelder in Rechnung
    Lime
    E-Scooter-Anbieter stellt Kunden Bußgelder in Rechnung

    Mit dem E-Scooter bei Rot über die Ampel fahren kostet zwischen 60 und 180 Euro. Das und mehr müssen die Kunden von Lime künftig selbst bezahlen.


  1. 20:02

  2. 18:40

  3. 18:04

  4. 17:07

  5. 16:47

  6. 16:28

  7. 16:02

  8. 15:04