PplWare Mobile

UPnP tem graves problemas de segurança

                                    
                                

Este artigo tem mais de um ano


Autor: Pedro Simões


  1. Chupador de Ilusão says:

    Eita… amanha vai ser um dia longo de reprogramação dos equipamentos! 🙁 Vou dar uma analisada na proteção do sistema…
    … alguém recomendo uma alternativa ao UPnP?

  2. henrique almeida says:

    Hum e então os firewall dos routers ? Não impedem o acesso destes ataques?

  3. Nuno José Almeida says:

    É coisa que desligo logo quando me lembro…

  4. Ze says:

    Boa informação, artigo simples e conciso.

    Tem uma gafe, “(…)não vão aplicas(…)”. Penso que queriam escrever “aplicar”. (preciosismos) 🙂

    Bom Trabalho

  5. WTF says:

    A sério!? Demoraram a reparar nisso.
    Para alem das vulnerabilidades que existem no protocolo há ainda não só a terrível abordagem que o UPnP é como modo de facilitar a vida ao utilizador calão, como só deixa mais vulnerável os utilizadores por causa das aplicações que fazem uso do protocolo.

    Há pessoas que nem sabem o que isso é, e muitas destas podem até nem fazer uso do protocolo de todo – Mas por alguma razão estranha (Querer facilitar a vida aos utilizadores, claro) vem prontamente ativo num N número de equipamentos.

  6. Guilherme Morais says:

    Há anos que ando a dizer que existem falhas de segurança no UPnP.
    Aprendam a configurar as portas nos routers e não deixem que o software as controlem por vocês.

  7. L. Mata says:

    Tenho ideia que o Hub da Zon vem com isso ligado por defeito. Alguem confirma?

  8. Joelson says:

    Dá pra desabilitar UPnP e criar um Virtual Server, para a aplicação que deseja usar UPnP e liberar a porta desejada.

  9. mc says:

    Por quê “obrigar” a usar o inseguro Java ou a transferir uns estonteantes 200 MB(!), quando uns meros 22kB dão perfeita conta do recado? http://www.grc.com/unpnp/unpnp.htm

  10. LJMXQ says:

    Boas!
    Excelente artigo…
    Parabéns, Pedro Simões & CIA!!!
    Já o tenho desabilitado à muito…
    Mas, respondendo à pergunta…
    Ainda não actualizei o meu router (THOMSON TG784), acham que deva???
    Como?
    😉

  11. Ricardo Luis says:

    O meu router MEO nao mostra vulnerabilidades a exploits, usando a aplicação, da Rapid7. Existe mais alguma coisa que deva testar?

    • LJMXQ says:

      Mas tens o UPnP abilitado?

    • Blind says:

      Ainda ontem fiquei MUITO preocupado com a segurança da minha rede doméstica por causa da MEO…
      Passo a explicar, as boxes de TV reiniciaram e fizeram um upgrade ao firmware. Até aqui nada de (muito) especial…
      Como curioso que sou, fui ver se tinha alguma novidade … e não é que tinha !!
      Ao aceder ao menu, deparei com uma opção “Area de Cliente”, onde lá pelo meio aparece o nome da rede wifi do router, que eu personalizei, bem como a senha atual dessa mesma rede!!!!

      A minha questão é a seguinte .. se eles têm acesso a essa informação para que apareca na box.. que outra informação têm acesso ?? O acesso a essa informação é local (box router) ou é acesso remoto (box datacenter meo router)?
      E o “resto do mundo” o que consegue ele fazer?? é que os users e as senhas dos routers meo são amplamente conhecidas ( Administrator, sumeo, microuser …)

      aquele abraço,
      Daniel

      • Wicked says:

        Esses tipos de informação são normalmente efectuados atraves de webservices (normalmente em SOAP) que é um protocolo de autenticação.

        Sendo que a STB é um meio protegido, assim como o router e o caminho entre os dois, não estou a ver a quebra de segurança. Está numa sandbox.

Deixe um comentário

O seu endereço de email não será publicado.

You may use these HTML tags and attributes: <a href="" title="" rel=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

Aviso: Todo e qualquer texto publicado na internet através deste sistema não reflete, necessariamente, a opinião deste site ou do(s) seu(s) autor(es). Os comentários publicados através deste sistema são de exclusiva e integral responsabilidade e autoria dos leitores que dele fizerem uso. A administração deste site reserva-se, desde já, no direito de excluir comentários e textos que julgar ofensivos, difamatórios, caluniosos, preconceituosos ou de alguma forma prejudiciais a terceiros. Textos de caráter promocional ou inseridos no sistema sem a devida identificação do seu autor (nome completo e endereço válido de email) também poderão ser excluídos.