Charlie Foxtrot Tango SSHnowDowN

Kto śledzi treści publikowane na sekuraku, ten wie, że Internet of Things (IoT) jest tak skromnie zabezpieczony, iż większość tych urządzeń, może posłużyć jako węzły w botnetach wykonujących ataki DDoS. Niestety, to nie pełny zasób możliwości, jaki niosą ze sobą te urządzenia. Nowe badanie przeprowadzone przez Akamai Threat Research udowadnia, że brak bieżących aktualizacji oprogramowania, spowodowało podatność około dwóch milionów różnego rodzaju urządzeń (SAN, CCTV, NVR, DVR, routerów Wi-Fi, ADSL, itd.) na – nienowy, bo dwunastoletni – błąd w usłudze OpenSSH. Wobec tego, do żartobliwej nazwy „Internet of Threats”, często dodaje się określenie „Internet of Unpatchable Things.

Wspomniany błąd, to CVE-2004-1653 – a dokładniej – luka w standardowej konfiguracji, odkryta w 2004 roku (naprawiona na początku 2005), polegająca na pozostawieniu włączonej opcji AllowTcpForwarding w pliku /etc/ssh/sshd_config. Opcja ta pozwala uwierzytelnionym użytkownikom (nie jest to problemem przy znajomości standardowych loginów i haseł różnych urządzeń) i nie tylko, na przekazywanie połączeń, a tym samym, na wykorzystanie takiego urządzenia jako proxy do kolejnych ataków na inny sprzęt i serwery. Dotyczy to także sieci wewnętrznych, do których jest podłączone podatne „pudełko” – razem z możliwością dostępu do webowego panelu administracyjnego urządzenia. Dlatego, jeśli posiadamy IoT w naszym otoczeniu sieciowym, upewnijmy się, że:

• zostały zmienione standardowe dane dostępowe do takiego urządzenia,

• wszystkie usługi, pozwalające na zdalne logowanie się do urządzenia, lub – co najmniej – ograniczone dostępem do zaufanych adresów IP, zostały wyłączone,

• opcje przekazywania portów i połączeń są wyłączone,

• nasze urządzenie nie posiada ukrytych furtek,
  o których oficjalnie nie poinformował nas producent.

Jeśli mamy pomysł, jak w niekonwencjonalny sposób wykrywać tego rodzaju urządzenia, które mogą stanowić zagrożenie dla sieci, MITRE oferuje nagrodę w wysokości 50 000 USD, wraz z innymi korzyściami.

–pki