UPnP: Experten warnen vor Sicherheitslücken in Routern

Mit Hilfe von Universal Plug and Play (UPnP) können sich Geräte in einem Netzwerk automatisch miteinander verbinden, ohne dass die Nutzer noch etwas tun müssen. Das praktische Protokoll ist bei vielen Internetroutern, Druckern, Netzwerkfestplatten und Überwachungskameras standardmäßig aktiviert - und es soll gravierende Sicherheitslücken haben. Die US-Sicherheitsfirma Rapid7 warnt, Tausende Produkte von Hunderten Herstellern seien betroffen.

In einem Whitepaper beschreiben die Forscher drei Angriffsmethoden auf eine bestimmte Implementierung von UPnP. Besonders heikel sind die Lücken bei betroffenen Routern, die direkt mit dem Internet verbunden sind. Diese lassen sich von außen übernehmen, warnen die Forscher. Allein 40 bis 50 Millionen Router wollen die Experten ausgemacht haben, die mindestens einer der drei Angriffsmethoden zum Opfer fallen könnten.

Forscher raten zum Aktualisieren

Nun müssten die Gerätehersteller Updates bereitstellen. Die Sicherheitslücken, die im vergangenen Jahr entdeckt wurden, sind in einer am Dienstag veröffentlichten Version von Libupnp behoben. Es werde aber noch lange dauern, bis alle Hersteller von Programmen und Geräten die neue Version einsetzten, schreiben die Forscher in einem Blogeintrag. Bei Produkten, die nicht mehr verkauft werden, könnten dringend gebotene Updates ganz ausbleiben.

Noch eine Warnung geben die Forscher aus: Weitere Lücken in einer anderen verbreiteten UPnP-Software, genannt MiniUPnP, seien zwar vor zwei Jahren behoben worden. Auf mehr als 300 Geräten kämen aber weiterhin veraltete, anfällige Versionen der Software zum Einsatz.

Rapid7 empfiehlt nun Nutzern, Firmen und Providern dringend, UPnP-fähige Geräte vom Internet abzukoppeln. Das Unternehmen aus Boston kümmert sich seit vier Jahren um die Netzwerk-Analysesoftware Metasploit, deren Entwickler HD Moore für Rapid7 arbeitet. Gegenüber der Nachrichtenagentur Reuters sagte er, es handele sich bei dem gefundenen Bug um den am weitesten verbreiteten, den er je gesehen habe. Ein anderer Sicherheitsexperte, Chris Wysopal vom US-Unternehmen Veracode, teilt diese Einschätzung: "Das fällt auf jeden Fall in die Kategorie 'beängstigend'."

Rapid7 hat eigenen Angaben zufolge Hersteller vorab informiert. Auf der Liste der betroffenen Geräte sind bekannte Marken wie Belkin, D-Link, Linksys und Netgear. Gegenüber Reuters nahmen die Unternehmen zunächst keine Stellung. Das beim Heimatschutzministerium angesiedelte US-Cert veröffentlichte unterdessen eine offizielle Warnung.

Ob auch deutsche Kunden betroffen sind, die von ihren Providern mit einem Router ausgestattet werden, ist bislang unklar. Entsprechende Anfragen bei Telekom, Vodafone und Kabel Deutschland blieben bis zu Veröffentlichung dieses Artikels unbeantwortet.

Dem Autor auf Facebook folgen