上週，一位客戶透露了該公司尚未修復的嚴重 TerraMaster NAS 漏洞。 TerraMaster 聲稱他們的 NAS 系統只能在本地網絡上使用。 但事實證明，他們的 NAS 系統可以通過 UPnP 協議在整個互聯網上訪問。 通用即插即用 (UPnP) 被無數網絡設備使用，包括 NAS、路由器、計算機、遊戲機、打印機、移動設備、物聯網設備等等。
閱讀更多－打造安全NAS的4個步驟
通過 UPnP 的漏洞可能會讓未經身份驗證的用戶承認，允許他們遠程入侵和提取您的數據，掃描您的本地網絡，甚至使您的設備參與 DDoS 攻擊。 我們聯繫了這一最新發現背後的 TerraMaster 用戶 Kevin Norman。 他與我們分享了他對這次曝光的看法、更多細節以及發送給公司的一些電子郵件，他在其中描述了調查結果。
什麼是UPnP？
首先，讓我們考慮一個相關的傳統場景； 當我們的讀者來自不同的背景和領域時，從基礎開始是很重要的。 每次將鼠標、鍵盤、便攜式 HDD 等 USB 設備插入計算機時，您都在使用即插即用 (PnP)。 您的設備會立即在您的整個計算機中被識別； PnP 為您省去了手動進行任何額外配置的麻煩。 與 PnP 類似，通用即插即用 (UPnP) 有助於檢測本地網絡中的任何联網設備。 它（主要）用於住宅和 SOHO 無線網絡。 典型的場景是插入路由器、遊戲系統、NAS 或打印機，這些設備將立即被您的個人計算機和其他設備識別。
UPnP 很方便，可以快速讓多個設備通過您的本地網絡找到客戶端。 就像 PnP 一樣，它極大地降低了設置新設備的複雜性。 然而，UPnP 也可以由您的路由器自動調整，允許設備訪問您的本地網絡之外。 使用另一種流行的協議，即互聯網網關設備 (IGD)，UPnP 客戶端可以獲得網絡的外部 IP 地址，並在其設置過程中添加新的端口轉發映射。 從消費者的角度來看，這種方法可能聽起來很有趣，但這種好處也可以利用漏洞和大規模攻擊。 UPnP 本質上是為在受信任的本地網絡中使用而設計的，其中協議不需要實施任何形式的身份驗證或驗證。
UPnP協定預設不實作任何身份驗證，因此 UPnP 裝置必須實作額外的裝置保護服務或裝置安全服務。一種名為 UPnP-UP（通用即插即用 - 使用者設定檔）的非標準解決方案提出了一種擴展，允許 UPnP 設備和應用程式使用使用者身份驗證和授權機制。許多 UPnP 設備實現缺乏身份驗證機制，預設假定本機系統及其使用者完全可信。
通過 UPnP 發現 TerraMaster NAS 漏洞
TerraMaster Technology Co., Ltd. 是一家專注於電腦軟體、網路附加儲存 (NAS) 和直接附加儲存 (DAS) 的中國公司。近日，Kevin Norman 發表了一篇博文，揭露了 TerraMaster 的 UPnP 協議存在漏洞，該漏洞迅速在Reddit和Hacker News 等平台上傳播開來。 Kevin 是一位來自英國的軟體工程師，他表示，今年 2 月，在獨立進行了一些測試後，他透過電子郵件向 TerraMaster 報告了這個問題。
Kevin 使用 TerraMaster F2-210 發現了 UPnP 漏洞。 這一發現引起了他的注意，可能是因為他對使用 UPnP 協議的認識和擔憂，正如他在其他一些文章中所述和引用的那樣。
NAS 和許多其他網絡設備通常使用 Web 界面進行管理，該界面通常是相同的 GUI。 對於 TerraMaster，它使用 TerraMaster 操作系統 (TOS) 來操作 NAS。 該操作系統要求您通過使用端口 8181 訪問網絡上 NAS 的主機名來訪問其 GUI。系統界面公開聲明 NAS 不可公開訪問。
然而，凱文解釋說，在安裝 NAS 幾天后，他發現他可以使用他的公共 IP 訪問它，即使他沒有端口轉發任何東西。 又一次，GUI 指出 NAS 只能從本地網絡訪問。
他檢查了路由器的端口轉發規則，發現 NAS 使用 UPnP 公開了四個端口。 它不僅通過8181端口暴露給外部網絡，而且通過端口5443暴露給外部網絡。凱文說，其他端口包括9091和8800，他找不到任何解釋。 9091端口一般用於Docker的容器管理工具Portainer，他沒有安裝在NAS上。
他猜測TerraMaster的開發人員使用了這些端口，可能在發佈軟體前忘記移除相關的配置資訊。 “看來這些規則可能在開發過程中被遺留下來了。”凱文評論道，“我相信這款NAS的硬體性能可靠；但是，我對它的Web界面能否暴露在互聯網上持懷疑態度。無論如何，盡量減少暴露在公共互聯網上的內容總是明智之舉！ ”
此外，他嘗試將網絡服務器端口更改為與 8181 不同的端口。系統轉發新端口，但仍然暴露舊端口。 就在此時，他決定聯繫鐵威馬，試圖弄清楚到底發生了什麼。
鐵威馬響應和解決方法
Kevin 聯繫了該公司，但他們沒有提供任何建議或解決方案來及時解決此問題。 凱文自己出去了，找到了路由器的root權限，他曾經自己挖出來。 他對 TerraMaster 至少提供了根訪問權限表示讚賞。
透過 SSH 連接到 NAS 並使用 root 使用者瀏覽檔案系統後，發現了一個可以修改的檔案。 “ /etc/upnp.json ”檔案包含連接埠轉送規則清單。 Kevin 提供了一個快速的解決方法：修改此文件。他說：“只需將您不想公開的連接埠的 bEnable 值改為 0，重啟 NAS，然後檢查連接埠轉送規則即可。”
「這幾乎完全解決了問題；但是，由於我們之前遷移了網路伺服器，連接埠 8181 和 5443 似乎仍然處於啟用狀態，但返回 404 錯誤。」凱文解釋道。 「這比以前好多了，但仍然不夠完美。我正在等待 Terramaster 的進一步指示/軟體更新。”
考慮到 Kevin 是一名軟件工程師。 與 IT 行業的許多人一樣，他了解並非常熟悉網絡、編碼和一般 IT 概念。 但是還有許多其他人沒有。 普通用戶將無法進入系統並修改高級參數，即使在谷歌搜索之後也是如此。
不涉及更多技術細節，如果您真的擔心這個 UPnP，您應該禁用它，至少在您進行進一步的研究和諮詢之前。 凱文最後也選擇了這個選項。
廣泛的意見和社區的回應
在凱文聯繫我們之後，他回覆了我們，並非常友好地分享了他對這個問題的看法。他還寫了另一篇博文，繼續闡述他對此事的觀點。在披露並公佈漏洞後，凱文收到了來自社區的許多信息，其中許多人支持他對UPnP和TerraMaster的看法。也有一些人持不同意見。
他告訴我們，後來還在他的博客中寫道：“有人建議在本地路由器上禁用 UPnP，但我個人認為這種做法沒有抓住要點。 我是一名軟件工程師，經常涉足基礎設施（Kubernetes 等）——因此，我對自己在做什麼有所了解。 因此我“可以”禁用 UPnP。 這些 NAS 產品並不是真的要賣給像我這樣的人，我認為，它們更針對你的普通消費者，他們不知道端口轉發或 UPnP 是什麼。”
正如我們在上一節中所寫和解釋的那樣，我們在這裡同意凱文的觀點。
他繼續說：
「停用 UPnP 確實可以堵住這個安全漏洞，但現實情況是，絕大多數消費級路由器都會啟用此功能，因此，市面上絕大多數 NAS 產品很可能在不知不覺中暴露在安全風險之中。”
「其他人建議購買一台支援兩個獨立區域網路的新路由器，這樣就可以把這台NAS放在一個無法直接存取互聯網/不支援UPnP的區域網路中。要求消費者這樣做簡直荒謬至極。我當然可以這麼做，將來也很有可能這麼做，但我目前並不覺得有必要升級我的網路設備；它運作良好，我很滿意，而且出於我上面提到的原因。
「這就是我深入研究設備本身的原因。幸好 TerraMaster 為這些設備提供了 root 權限，這真是太好了。這讓我找到了解決方法。 ”
他還附上了另一位 TerraMaster 用戶在 NAS 上發現的另一個漏洞。另一個與 TerraMaster 相關的漏洞（涉及洩露管理員密碼）被留在了 Hacker News 帖子評論中。 https ://news.ycombinator.com/item? id =26683488
用戶“kotsec”聲稱：
“目前您絕對不應該將任何 TerraMaster NAS 設備連接到互聯網。我上個月向 TerraMaster 報告了一個漏洞，但至今仍未修復。”
“訪問http://NAS_IP/module/api.php?wap/，它會以 md5crypt 哈希的形式顯示你的管理員密碼。為什麼？我猜想這是某種後門/開發代碼，但我並不確定。 ”
那麼，您應該使用 UPnP 嗎？
使用 UPnP 應該沒有本質上的錯誤。 然而，這些協議似乎確實存在很多安全問題。 這不是第一個關於 UPnP 漏洞的報導； 在過去的幾年裡，還有一些與路由器、其他網絡設備和本地網絡有關。
通常，針對 UPnP 漏洞的攻擊不太可能針對家庭用戶，而是針對 SOHO 和 SMB。 儘管如此，它還是有可能發生的。 無論如何，NAS 不應該是從公共互聯網請求轉發的設備。 Kevin 和其他 TerraMaster 用戶仍在等待修復或補丁來修復此問題。
似乎禁用或不禁用 UPnP 的困境完全取決於您； 這是為了方便而交易安全。 路由器中啟用的 UPnP 可能會將您的許多設備和應用程序暴露給互聯網，但與此同時，它會讓您更輕鬆地遠程訪問它們。
如果您不打算使用需要端口轉發的應用程序，則應禁用 UPnP。 遊戲機和服務器、物聯網設備和點對點應用程序是當今最好的例子。 如果您需要這些應用程序中的任何一個，但仍然不想使用 UPnP，您始終可以在路由器中執行手動（老式）端口轉發。 值得一提的是，Kevin 最終禁用了 UPnP，並且似乎為此感到高興。
閱讀更多－打造安全NAS的4個步驟
***2021年4月12日更新 – TerraMaster已發布韌體更新***
Amazon