| Precedente :: Successivo |
| Autore |
Messaggio |
Zeus News
Ospite
|
 Inviato: 21 Gen 2008 00:10 Oggetto: Il pericolo corre su Flash |
 |
|
Commenti all'articolo Il pericolo corre su Flash
Scoperta una pericolosa falla di gestione dei file Flash da parte di numerosi router.
|
|
| Top |
|
 |
giubertinik
Comune mortale
Registrato: 28/05/07 22:50
Messaggi: 3
|
| Inviato: 21 Gen 2008 09:39 Oggetto: Ma come è possibile? |
|
|
Scusate ma non capisco come sia posssibile. Dal mio Router posso accedere digitando un indirizzo numerico dal mio Browser. Esiste una Userid e una Password. La mia password è particolarmente lunga e volutamente complessa e illogica.
Se digito una password errata per più di tot tentativi il sistema blocca l'accesso per minuti.
Davvero non riesco a capire come un filmato di flash possa arrivare al mio router e violarne la sicurezza. |
|
| Top |
|
|
pc1751
Eroe in grazia degli dei
Registrato: 17/05/05 17:52
Messaggi: 162
|
| Inviato: 21 Gen 2008 10:27 Oggetto: |
|
|
come si fa per vedere che versione di flash è installata sul mio pc? In pannello di controllo>installazione applicazioni nn lo trovo. E' possibile disinstallarlo e mettere una vecchia versione per stare più sicuri? e se si usa una pass sul router come dice giubertinik nell messaggio precedente?
grazie  |
|
| Top |
|
|
unwiredbrain
Mortale devoto
Registrato: 01/03/07 16:33
Messaggi: 8
|
| Inviato: 21 Gen 2008 16:20 Oggetto: |
|
|
Non avete capito...
Non è una questione di "accesso" vero e proprio al router: le richieste UPnP non hanno nulla a che spartire con l'accesso al router.
Tutta la "magia" sta nel fatto che il protocollo UPnP è stato progettato male, a tal punto che una particolare richiesta SOAP appositamente creata può craccare il protocollo UPnP ed esporre il router a manipolazioni di qualsiasi tipo.
Flash, inconsapevolmente, sfrutta ad arte una sua particolare "azione".
Il problema sta quindi su due fronti: uno è quello di Adobe, che deve procedere al più presto a fissare il problema in Flash, l'altro è quello dei produttori di apparecchi di Rete che devono provvedere a rivedere il modo in cui gestiscono il protocollo UPnP.
Forse sarà necessario rivedere il protocollo UPnP stesso.
Ovviamente, tutto ciò se ho capito bene...
Wikipedia si esprime certamente meglio di me:
| Citazione: | Lack of Authentication
UPnP IGD does not implement any authentication, and therefore assumes that all local systems and their users are completely trustworthy.Routers and firewalls running UPnP are therefore vulnerable to attack.
Adobe Flash programs are capable of generating HTTPU (HTTP over UDP) requests. This allows the router (or other UPnP-configurable device) settings to be modified by a malicious web site when someone with a UPnP-enabled router simply visits that web site.
For example, the following changes can be made silently by code embedded in an Adobe Flash object hosted on a malicious website:
* Port forward internal services (ports) to the router external facing side (i.e. expose computers behind a firewall to the internet)
* Port forward the router's web administration interface to the external facing side
* Port forwarding to any external server located on the Internet, effectively allowing an attacker to attack an Internet host via the router, while hiding their IP address
* Change DNS server settings so that when victims believe they are visiting a particular site (such as an online bank), they are redirected to a malicious website instead.
* Change the DNS server settings so that when a victim updates Firefox extensions, they download malicious code instead.
* Change administrative credentials to the router/firewall
* Change PPP settings
* Change IP settings for all interfaces
* Change WiFi settings
* Terminate connections
Note: This only applies to the "firewall-hole-punching"-feature of UPnP; it does not apply when your firewall does not support UPnP and you only use e.g. UPnP AV locally.
Other Issues
* UPnP uses HTTP over UDP (known as HTTPU and HTTPMU for unicast and multicast), even though this is not standardized and is specified only in an Internet-Draft that expired in 2001.
* UPnP does not have a lightweight authentication protocol, while the available security protocols are complex. As a result, some UPnP devices ship with UPnP turned off by default as a security measure.
|
pc1751, vai qui. |
|
| Top |
|
|
chemicalbit
Dio maturo
Registrato: 01/04/05 17:59
Messaggi: 18597
Residenza: Milano
|
| Inviato: 21 Gen 2008 19:37 Oggetto: |
|
|
E l'ultima versione quale sarebbe?
Solo quella è vulnerabile? |
|
| Top |
|
|
unwiredbrain
Mortale devoto
Registrato: 01/03/07 16:33
Messaggi: 8
|
| Inviato: 21 Gen 2008 21:42 Oggetto: |
|
|
Attualmente (ripeto e sottolineo: ATTUALMENTE) sembra essere affetta solo la versione
9.0 r115 |
|
| Top |
|
|
amldc
Dio maturo
Registrato: 02/05/06 16:21
Messaggi: 1382
|
| Inviato: 21 Gen 2008 22:35 Oggetto: |
|
|
| Un consiglio: se il vostro router supporta UPnP, disattivatelo. Certo questo e' un po' scomodo per chi utilizza programmi (ad esempio per il p2p) che lo sfruttano per configurare automaticamente le porte ma e' sempre meglio sapere quello che si sta facendo. Del resto in genere si trova abbastanza facilmente in rete l'elenco dele porte da aprire a seonda del vostro programma preferito. |
|
| Top |
|
|
amldc
Dio maturo
Registrato: 02/05/06 16:21
Messaggi: 1382
|
| Inviato: 21 Gen 2008 22:37 Oggetto: |
|
|
dimenticavo...
ovviamente disabilitando UPnP vi rimane l'accesso classico (normalmente via interfaccia web) |
|
| Top |
|
|
pc1751
Eroe in grazia degli dei
Registrato: 17/05/05 17:52
Messaggi: 162
|
| Inviato: 22 Gen 2008 16:22 Oggetto: |
|
|
| unwiredbrain ha scritto: |
pc1751, vai qui. |
grazie  |
|
| Top |
|
|
pc1751
Eroe in grazia degli dei
Registrato: 17/05/05 17:52
Messaggi: 162
|
| Inviato: 22 Gen 2008 16:28 Oggetto: |
|
|
| amldc ha scritto: | | Un consiglio: se il vostro router supporta UPnP, disattivatelo. Certo questo e' un po' scomodo per chi utilizza programmi (ad esempio per il p2p) che lo sfruttano per configurare automaticamente le porte ma e' sempre meglio sapere quello che si sta facendo. Del resto in genere si trova abbastanza facilmente in rete l'elenco dele porte da aprire a seonda del vostro programma preferito. |
il mio router è un draytek vigor 2500 e mi da questa possibilita:
UPNP Setup
Enable UPnP Service
Enable Connection control Service
Enable Connection Status Service
Note : If you intend running UPnP service within your LAN, you should mark the appropriate service above to allow control, as well as the appropriate UPnP settings.
e' la prima voce (enable pnp service) quella che NON devo attivare?
Scusa ma sono proprio impedito
|
|
| Top |
|
|
unwiredbrain
Mortale devoto
Registrato: 01/03/07 16:33
Messaggi: 8
|
| Inviato: 22 Gen 2008 20:49 Oggetto: |
|
|
| Sembra di sì... |
|
| Top |
|
|
pc1751
Eroe in grazia degli dei
Registrato: 17/05/05 17:52
Messaggi: 162
|
| Inviato: 23 Gen 2008 09:25 Oggetto: |
|
|
| unwiredbrain ha scritto: | | Sembra di sì... |
ok grazie |
|
| Top |
|
|
{Marco Risi}
Ospite
|
| Inviato: 24 Gen 2008 10:16 Oggetto: Pericolo corre su Universal Plug and Play! |
|
|
Si potrebbe intitolare allora: "il pericolo corre su Universal Plug and Play" (o meglio Plug and PREY!) visto che riguarda solo quegli utenti che per ignoranza si servono ancora di questo servizio buggato e insicuro.
Il problema non è il router o il Flash o il Javascript o altri software che possono sfruttare le continue falle dell'UPnP, ma proprio questo servizio inutile e pericoloso.
L'articolo non dice la cosa essenziale e cioè come disattivare l'UPnP, cosa che io ho fatto già 7 anni fa.
Baci e abbracci. ;-) |
|
| Top |
|
|
Zeus
Amministratore
Registrato: 21/10/00 01:01
Messaggi: 12777
Residenza: San Junipero
|
| Inviato: 24 Gen 2008 10:20 Oggetto: |
 |
|
Diccela tu  |
|
| Top |
|
|
|
FAQ
Cerca
Lista utenti
Gruppi
Registrati
Profilo
Messaggi privati
Log in
