Jon Hart, ricercatore alla Rapid7, ha appena scoperto una nuova vulnerabilità nel protocollo
NAT-PMP (Network Address Translation - Port Mapping Protocol), usato nella stragrande
maggioranza dei router/firewall di classe Soho in commercio.
In estrema sintesi, nella specifica NAT-PMP (RFC 6886), viene espressamente affermato che il
gateway NAT non deve essere configurato per accettare le richieste di mappatura per il proprio
indirizzo IP esterno.
La specifica determina che "solo i pacchetti ricevuti sull'interfaccia interna con un indirizzo di
destinazione corrispondenti agli indirizzi interni del gateway NAT, dovrebbero essere consentiti".
Alcuni fornitori, riferisce Hart, non stanno seguendo le specifiche alla lettera e lo ha dimostrato
con una scansione appropriata che ha permesso di scovare connessi al Web oltre un milione e
duecentomila router, per lo più di classe Soho.
E' consigliabile, pertanto, disabilitare ove possibile sui nostri modem/router casalinghi e d'ufficio
la feature o quantomeno non attivare alcuna relativa regola del Port Mapping, in genere direttamente
correlata al meccanismo del Virtual Server.
Security Street Rapid: R7-2014-17: NAT-PMP Implementation and Configuration Vulnerabilities