La semana pasada, un cliente reveló una vulnerabilidad grave del TerraMaster NAS que la empresa aún no ha reparado. TerraMaster afirma que sus sistemas NAS solo están disponibles en una red local. Sin embargo, resulta que sus sistemas NAS son accesibles a través de Internet a través del protocolo UPnP. Universal Plug and Play (UPnP) es utilizado por una cantidad infinita de dispositivos de red, incluidos NAS, enrutadores, computadoras, consolas de juegos, impresoras, dispositivos móviles, dispositivos IoT y muchos más.
La semana pasada, un cliente reveló una vulnerabilidad grave del TerraMaster NAS que la empresa aún no ha reparado. TerraMaster afirma que sus sistemas NAS solo están disponibles en una red local. Sin embargo, resulta que sus sistemas NAS son accesibles a través de Internet a través del protocolo UPnP. Universal Plug and Play (UPnP) es utilizado por una cantidad infinita de dispositivos de red, incluidos NAS, enrutadores, computadoras, consolas de juegos, impresoras, dispositivos móviles, dispositivos IoT y muchos más.
Leer más: 4 pasos para un NAS seguro
La vulnerabilidad a través de UPnP puede conceder usuarios no autenticados, permitiéndoles invadir y extraer sus datos de forma remota, escanear sus redes locales o incluso hacer que sus dispositivos participen en ataques DDoS. Nos comunicamos con Kevin Norman, el usuario de TerraMaster detrás de este descubrimiento reciente. Compartió con nosotros su opinión sobre esta exposición, detalles adicionales y también algunos de los correos electrónicos enviados a la empresa, donde describe los hallazgos.
¿Qué es UPnP?
En primer lugar, consideremos un escenario asociado y tradicional; a medida que recibimos lectores de todos los orígenes y dominios, es importante comenzar con lo básico. Cada vez que conecta un dispositivo USB, como un mouse, teclado, disco duro portátil, a su computadora, está usando Plug and Play (PnP). Su dispositivo se reconoce instantáneamente en toda su computadora; PnP le ahorra la molestia de realizar cualquier configuración adicional manualmente. Similar a PnP, Universal Plug and Play (UPnP) ayuda a detectar cualquier dispositivo en red en su red local. Está diseñado (principalmente) para redes inalámbricas residenciales y SOHO. Los escenarios típicos son conectar un enrutador, un sistema de juegos, un NAS o una impresora, donde su computadora personal y otros dispositivos reconocerán estos dispositivos de inmediato.
UPnP es útil, ya que permite que múltiples dispositivos encuentren rápidamente clientes en su red local. Y al igual que PnP, reduce drásticamente la complejidad de configurar nuevos dispositivos. Sin embargo, su enrutador también puede ajustar UPnP automáticamente, lo que permite que los dispositivos accedan fuera de su red local. Usando otro protocolo popular, Internet Gateway Device (IGD), un cliente UPnP puede obtener la dirección IP externa para su red y agregar nuevas asignaciones de reenvío de puertos como parte de su proceso de configuración. Este método puede sonar interesante desde la perspectiva del consumidor, pero este beneficio también explota vulnerabilidades y ataques a gran escala. UPnP está diseñado esencialmente para usarse en redes locales confiables, donde el protocolo no necesita implementar ninguna forma de autenticación o verificación.
"El protocolo UPnP, de forma predeterminada, no implementa ninguna autenticación, por lo que las implementaciones de dispositivos UPnP deben implementar el servicio de Protección de dispositivos adicional o implementar el Servicio de seguridad de dispositivos. Una solución no estándar llamada UPnP-UP (Universal Plug and Play – Perfil de usuario) propone una extensión para permitir mecanismos de autenticación y autorización de usuarios para dispositivos y aplicaciones UPnP. Muchas implementaciones de dispositivos UPnP carecen de mecanismos de autenticación y, de manera predeterminada, asumen que los sistemas locales y sus usuarios son completamente confiables."
Vulnerabilidad de TerraMaster NAS descubierta a través de UPnP
TerraMaster Technology Co., Ltd. es una empresa china que se especializa en software informático, almacenamiento conectado a la red y almacenamiento conectado directamente. Recientemente, Kevin Norman publicó un entrada del blog revelando una vulnerabilidad en el protocolo UPnP de TerraMaster que rápidamente se extendió por Reddit y Hacker News. Kevin, un ingeniero de software del Reino Unido, dijo que informó su inquietud a TerraMaster en febrero de este año por correo electrónico después de realizar algunas pruebas de forma independiente.
Kevin encontró la vulnerabilidad UPnP usando un TerraMaster F2-210. El descubrimiento despertó su atención, probablemente, por su conciencia e inquietud sobre el uso de los protocolos UPnP, tal como había afirmado y citado en algún otro de sus artículos.
El NAS y muchos otros dispositivos de red se administran comúnmente mediante una interfaz web, que suele ser la misma GUI. En el caso de TerraMaster, utiliza el sistema operativo TerraMaster (TOS) para operar el NAS. Este sistema operativo le solicita que acceda a su GUI visitando el nombre de host del NAS en su red mediante el puerto 8181. La interfaz del sistema afirma abiertamente que el NAS no es de acceso público.
Sin embargo, Kevin explica que después de unos días de instalar el NAS, descubrió que podía acceder a él usando su IP pública, aunque no había reenviado ningún puerto. Una vez más, la GUI indicó que solo se podía acceder al NAS desde la red local.
Inspeccionó las reglas de reenvío de puertos de su enrutador e identificó que el NAS estaba exponiendo cuatro puertos mediante UPnP. No solo estaba expuesto a la red exterior a través del puerto 8181, sino también del puerto 5443. Otros puertos, dijo Kevin, incluyen el 9091 y el 8800, para los que no pudo encontrar ninguna explicación. El puerto 9091 generalmente se usa para Portainer, una herramienta de administración de contenedores para Docker, que no había instalado en el NAS.
Supuso que los desarrolladores de TerraMaster estaban usando estos puertos, y posiblemente se olvidaron de eliminar la configuración para perforarlos antes de lanzar el software. “Parece que potencialmente algunas de estas reglas quedaron fuera del proceso de desarrollo”. Kevin comentó: “Confío en que este NAS sea un hardware confiable; sin embargo, dudo de confiar su interfaz web a la Internet abierta. ¡En general, es una buena práctica exponer lo menos posible a la Internet pública de todos modos!"
Además, trató de cambiar el puerto del servidor web a algo diferente a partir del 8181. El sistema reenvía el puerto nuevo pero aún deja expuesto el antiguo. Aquí es cuando decidió contactar a TerraMaster para tratar de averiguar qué estaba pasando.
Respuesta y solución de TerraMaster
Kevin se puso en contacto con la empresa, pero no hubo recomendaciones para atender o una solución de ellos para resolver este problema de inmediato. Kevin salió por su cuenta y encontró acceso raíz al enrutador, que solía desenterrar él mismo. Él comenta su agradecimiento a TerraMaster por al menos proporcionar acceso a la raíz.
Después de acceder a través de SSH al NAS y usar la raíz para explorar el sistema de archivos, se descubrió un archivo que podía modificarse. El "/etc/upnp.jsonEl archivo muestra que contiene una lista de reglas de reenvío de puertos. Una solución rápida de Kevin fue modificar este archivo. Él dijo: "Simplemente cambie bEnable a 0 para cualquier puerto que no quiera que esté expuesto, reinicie el NAS y verifique las reglas de reenvío de puertos".
"Esto resuelve casi por completo el problema; sin embargo, parece que los puertos 8181 y 5443 permanecen perforados pero dan como resultado un 404 (error) ya que movimos el servidor web antes”. Kevin describe. “Esto es mejor que antes, pero aún no es perfecto. Espero más instrucciones de la actualización del software Terramaster/a"
Tenga en cuenta que Kevin es ingeniero de software. Y como muchos en la industria de TI, entiende y está muy familiarizado con las redes, la codificación y los conceptos generales de TI. Pero hay muchos otros que no. Los usuarios habituales no podrán ingresar a un sistema y modificar parámetros avanzados, incluso después de buscarlo en Google.
Sin entrar en más tecnicismos, si realmente le preocupa este UPnP, debe desactivarlo, al menos hasta que realice más investigaciones y consultas. Kevin también optó por esta opción al final.
Una opinión ampliada y la respuesta de la comunidad
Después del contacto de Kevin, nos escribió y fue muy amable al extendernos su opinión sobre este tema. También escribió otro entrada del blog donde continúa su opinión sobre este asunto. Después de exponer y publicar la vulnerabilidad, Kevin recibió varios mensajes de la comunidad, muchos de los cuales apoyaban su punto de vista sobre UPnP y TerraMaster. Otros no estaban de acuerdo.
Nos dijo, y luego también escribió en su blog, lo siguiente: “Algunos sugieren deshabilitar UPnP en su enrutador local, pero personalmente creo que esto no entiende el punto. Soy un ingeniero de software que incursiona regularmente en la infraestructura (Kubernetes y similares) y, por lo tanto, tengo una idea de lo que estoy haciendo. Por lo tanto, 'podría' deshabilitar UPnP. Estos productos NAS realmente no están destinados a ser vendidos a personas como yo, creo que están más dirigidos a su consumidor promedio, que no tendría idea de qué es el reenvío de puertos o UPnP”.
Estamos de acuerdo con Kevin aquí, como escribimos y también explicamos en la sección anterior.
Él continuó:
"Deshabilitar UPnP definitivamente cierra este agujero de seguridad en particular, pero viviendo en el mundo real por un segundo, la gran mayoría de los enrutadores de consumo tendrán esta función activada y, por lo tanto, la gran mayoría de estos productos NAS en la naturaleza probablemente se expongan sin saberlo. .”
"Otros sugieren comprar un nuevo enrutador que admita tener dos redes LAN separadas, por lo que este NAS podría colocarse en una LAN a la que se le niega el acceso directo a Internet o que no tiene UPnP. Esto es aún más ridículo de esperar que los consumidores hagan. Podría hacerlo, y muy bien podría hacerlo en el futuro, pero actualmente no siento la necesidad de actualizar mi equipo de red; funciona, y estoy contento con él, y de nuevo pierde el punto por las mismas razones que detallé anteriormente."
"Es por eso que fui a explorar el dispositivo en sí. Afortunadamente, TerraMaster proporciona root en estas cajas, lo cual es bueno de su parte. Esto me llevó a descubrir la solución que hice."
También adjunta un descubrimiento adicional, realizado por otro usuario de TerraMaster, en el NAS. Otro exploit relacionado con TerraMaster, que consistía en filtrar la contraseña de administrador, se dejó en los comentarios de la publicación de Hacker News. https://news.ycombinator.com/item?id=26683488.
El usuario "kotsec" afirma:
"NO debería tener ningún TerraMaster NAS conectado a Internet en este momento. Divulgué un error el mes pasado a TerraMaster que aún no se ha solucionado.."
"Vaya a http://NAS_IP/module/api.php?wap/ y le dará su contraseña de administrador como un hash md5crypt. ¿Por qué? Supongo que es algún tipo de código de puerta trasera/de desarrollo, pero no lo sé."
Entonces, ¿debería usar UPnP?
No debería haber nada esencialmente malo con el uso de UPnP. Sin embargo, parece que estos protocolos tienen muchos problemas de seguridad. Este no es el primer caso reportado sobre la vulnerabilidad de UPnP; varios más en los últimos años se han relacionado con enrutadores, otros dispositivos de red y redes locales.
Por lo general, no es probable que los ataques a las vulnerabilidades UPnP se realicen contra usuarios domésticos, sino SOHO y SMB. Sin embargo, podría suceder. En cualquier caso, el NAS no debe ser el dispositivo que solicite reenvíos desde la red pública de Internet. Kevin y otros usuarios de TerraMaster todavía están esperando una solución o un parche para remediar este problema.
Parece que el dilema de deshabilitar o no UPnP depende completamente de usted; es intercambiar seguridad por conveniencia. UPnP habilitado en su enrutador puede exponer muchos de sus dispositivos y aplicaciones a Internet, pero al mismo tiempo, le facilitará comunicarse con ellos de forma remota.
Debe deshabilitar UPnP si no planea usar aplicaciones que necesitan redirección de puertos. Las consolas y servidores de juegos, los dispositivos IoT y las aplicaciones peer-to-peer son los mejores ejemplos en la actualidad. Si necesita alguna de estas aplicaciones y aún no desea usar UPnP, siempre puede realizar el reenvío de puertos manual (anticuado) en su enrutador. Por lo que vale, Kevin terminó deshabilitando UPnP y parece más feliz por eso.
Leer más: 4 pasos para un NAS seguro
***Actualización 4-12-2021 – TerraMaster ha emitió una actualización de firmware***
Interactuar con StorageReview
Boletín informativo | YouTube | LinkedIn | Instagram | Twitter | Facebook | TikTok | RSS Feed
