uPnP : Universal Plug and Play. Faites votre réseau

uPnP - Faites votre réseau vous-même, à la maison ou en entreprise, sans rien y connaître.

uPnP = Universal Plug and Play (reconnaissance automatique des composants de l'ordinateur). Il s'agit, à l'origine, d'une "norme maison Microsoft", uniquement dans Windows XP, puis elle s'est répendue.

uPnP permet à des composants WiFi, donc dans un rayon de 20 à 30 mètres, d'être reconnus immédiatement et de s'intégrer au réseau WiFi local. L'ajout d'un ordinateur WiFi, d'une imprimante WiFi, d'une console de jeux, etc. ... est facilité, voire automatisé. Les " Box " WiFi reconnaissent uPnP.

Mais uPnP comportait, à son lancement, de très nombreuses failles de sécurité (outil de désactivation disponible - voir Contre-mesure ). En plus, uPnP n'est, n'y plus n'y moins, qu'un espion faisant l'inventaire de votre configuration d'ordinateur d'une manière systématique et avec un protocole standardisé, ce qui a conduit les CERT et le FBI à recommander sa désactivation immédiate (Le FBI a retiré, depuis, son avis de désactivation, mais l'approche espionne systématique du FBI ne conduit pas à penser que le retrait de son avis soit exempt d'arrières pensées - voir Prism et Cie).

uPnP affecte tous les systèmes Windows depuis 98, 98se, 2000, ME, XP, Vista, 7, 8 et ultérieurs, que ce soit en version d'origine ou par le biais des mises à jour (update), sous la forme d'un service nommé SSDP Discovery Service (Découverte SSDP dans les versions françaises de Windows).

uPnP écoute sur le port TCP 5000 et le port UDP 1900 pour les datagrammes. Ce dispositif comporte de très nombreuses failles de sécurité et doit être désactivé. En plus, ce dispositif n'est, n'y plus n'y moins, qu'un espion faisant l'inventaire de votre configuration.

La "norme" uPnP (Universal Plug and Play - reconnaissance automatique des composants de l'ordinateur) est un ensemble de protocoles devant permettre à des systèmes et des équipements d'être mis en réseaux et de collaborer, sans configuration préalable. Au chargement de Windows, uPnP annonce à toutes les machines connectées au réseau que vous venez de vous connecter et vous pouvez communiquer avec elles dans un protocole pré-défini. uPnP vous met immédiatement en mode serveur et vous montre à tous sur le réseau, autrement dit, il est possible immédiatement de prendre le contrôle de votre machine.

uPnP n'a rien à voir avec les fonctions disparates de plug and play hardware utilisées lors des installations de Windows ou des changements de matériel. uPnP s'est appelé ainsi par commodité de langage mais il eu été préférable de l'appeler Network Plug and Play.

L'idée de départ de uPnP n'est pas mauvaise, c'est sa mise en oeuvre qui est catastrophique. La lutte contre l'espionnage ne doit pas freiner les avancées technologiques mais ces dernières ne doivent pas être l'allibi à des activités sous-jacentes répréhensibles et, de toute manières, réprouvées par l'utilisateur lorsqu'il en a pris connaissance (car, là aussi, le bât blesse).

uPnP - Avis du CERTA

S . G . D . N
Direction centrale
de la sécurité des
systèmes d'information
Paris, le 24 decembre 2001
No CERTA-2001-AVI-165

Objet : Vulnérabilité de UPnP sous Windows

Gestion du document

Tableau 1: gestion du document

Référence CERTA-2001-AVI-165 Titre Vulnérabilité de UPnP sous Windows Date de la première version 24 décembre 2001 Date de la dernière version - Source(s) Bulletin Microsoft MS01-059 Pièce(s) jointe(s) Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque
Exécution de code arbitraire ;
Déni de service.

2 Systèmes affectés
Windows 98 ;
Windows 98 SE ;
Windows Millenium Edition ;
Windows XP.

3 Résumé
Un utilisateur distant mal intentionné peut, par le biais de requêtes UPnP habilement composées, exécuter du code arbitraire ou entraîner un déni de service sur la machine cible.

4 Description
Le service UPnP ( Universal Plug and Play ) est un service permettant de découvrir automatiquement de nouveaux équipements réseau. Ce service est disponible sur divers équipements : imprimantes, etc.

Une machine utilisant le service UPnP transmet une requête « M-SEARCH » afin de connaître les ressources UPnP du réseau. Les machines proposant de telles ressources (exemple : imprimantes) transmettent une requête « NOTIFY ».

Deux vulnérabilités ont été découvertes dans le service UPnP.

La première vulnérabilité permet, pas le biais d'un débordement de pile dans la gestion des requêtes « NOTIFY », d'exécuter du code arbitraire sur la machine cible ( avec les privilèges « SYSTEM » sous Windows XP ).

La seconde vulnérabilité permet, par le biais d'une mauvaise gestion des requêtes « NOTIFY », de réaliser un déni de service en consommant toutes les ressources de la machine cible.

5 Contournement provisoire
Filtrer les ports 1900 et 5000 ( TCP et UDP ) au niveau du garde-barrière, pour éviter les attaques provenant de l'extérieur.

6 Solution
Télécharger le correctif sur le site Microsoft :
Ajouté par Assiste.com le 17.11.02 : Ce correctif risque d'installer, carément, UPnP si vous ne l'avez pas. Vérifiez d'abord si vous l'avez et, si vous ne l'avez pas, ne faites rien. Pour vous en assurer, voir la contre-mesure et passez le test de Gibson. Les liens suivants ont été vérifiés et mis à jour le 17.11.02

• Windows 98/98SE :
  https://www.microsoft.com/Downloads/Release.asp?ReleaseID=34991
  ou
  https://www.windowsupdate.com
  
  
• Windows ME :
  https://support.microsoft.com/default.aspx?scid=KB;en-us;314757
  ou
  https://www.windowsupdate.com
  
  
• Windows XP :
  https://www.microsoft.com/Downloads/Release.asp?ReleaseID=34951
  ou
  https://www.windowsupdate.com
  
  

7 Documentation

• Bulletin Microsoft (regroupé pour tous les systèmes avec infos techniques, FAQ etc.):
  https://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/ms01-059.asp

Contre mesures

Entrez dans les services de Windows et désactivez le service Découverte SSDP (SSDP Discovery en anglais). Si vous ne savez pas le faire, utilisez le petit outil gratuit :
UnPlug n' Pray