Poodle-Nachspiel: Mace und weitere Lücken in TLS-Servern

Cisco, F5, Juniper, Fortinet: Ein Sicherheitsforscher hat eine Reihe von TLS-Servern entdeckt, die den sogenannten Message Authentication Code (MAC) von Verbindungen nicht prüfen. Andere Serverimplementierungen prüfen eine Checksumme am Ende des Handshakes nicht.

Artikel veröffentlicht am 16. Juli 2015, 11:26 Uhr, Hanno Böck

"Mace" heißt die jüngste in TLS-Implementierungen entdeckte, kritische Lücke. (Bild: Samuraiantiqueworld, Wikimedia Commons, CC by-sa 3.0)

Yngve Pettersen, ein Entwickler des Webbrowsers Vivaldi, hat verschiedene Sicherheitsprobleme in TLS-Implementierungen entdeckt. Sie hängen mit der fehlenden Prüfung von bestimmten Feldern zusammen und erinnern an eine spezielle Variante des sogenannten Poodle-Bugs. Besonders kritisch ist eine fehlende Prüfung des Message Authentication Codes (MAC) in einigen Geräten von Cisco und F5. Weitere Probleme betreffen auch Geräte von Juniper und Fortinet. Nicht alle betroffenen Geräte konnten einem Hersteller zugeordnet werden.

Mace - Korrektheit eines Datenpakets wird nicht geprüft

Viele TLS-Verbindungen verwenden einen Verschlüsselungsalgorithmus mit dem sogenannten CBC-Blockverfahren und eine HMAC-Prüfung. Dabei werden innerhalb des verschlüsselten Pakets der MAC und ein Padding an die Daten angehängt. Der MAC schützt die Datenpakete vor Manipulation. Nur mit dem gemeinsamen Sitzungsschlüssel, den beide Verbindungspartner haben, lässt sich ein gültiger MAC erzeugen. Damit diese Authentifizierungsprüfung funktioniert, müssen Server und Client natürlich den von der anderen Seite geschickten MAC-Wert prüfen - und das tun offenbar einige Implementierungen nicht. Pettersen hat diesen Fehler Mace (für MAC Error) genannt.

Einen konkreten Angriff für das Problem hat Pettersen nicht entwickelt, es ist aber vermutlich nicht allzu schwer, diesen Fehler auszunutzen. Ein Angreifer, der Informationen über bestimmte Teile eines Datenpakets hat - etwa HTTP-Header oder Inhalte von Webseiten - kann mittels dieses Fehlers bei einem Man-in-the-Middle-Angriff vermutlich den Sitzungsschlüssel einer TLS-Verbindung extrahieren. Auch gezielte Manipulationen von bekannten Webseiteninhalten sind damit möglich.

Pettersen hat in das von ihm entwickelte Tool TLS Prober einen Check eingebaut, der versucht, eine Verbindung mit ungültigen MAC-Werten zu einem Server aufzubauen. Ein korrekt arbeitender Server müsste derartige Pakete verwerfen und mit einer Fehlermeldung antworten. Doch bei einem Test von circa 500.000 Servern stellte sich heraus, dass 269 den MAC-Wert offenbar nicht prüfen. Bei der Mehrzahl der Server handelte es sich anscheinend um Firewalls aus der ASA-Serie von Cisco. Doch das Problem genau zu identifizieren stellte sich als schwierig heraus.

Serverbetreiber antworten nicht auf Nachfragen

Cisco konnte Pettersen zwar bestätigen, dass es sich bei den betroffenen Systemen um Geräte der Firma handelte. Doch reproduzieren konnten die Cisco-Mitarbeiter den Fehler auf ihrer eigenen Hardware nicht. Pettersen versuchte, die Betreiber der Server zu kontaktieren, und erhielt von niemandem eine Antwort. Cisco selbst war jedoch in der Lage, anhand der IP-Adressen 15 bekannte Kunden zu identifizieren, die Serviceverträge mit Cisco hatten. Somit konnte Cisco selbst seine Kunden kontaktieren. Ein einziger antwortete, doch das reichte, um dem Problem auf den Grund zu gehen: Der Fehler befand sich in der Firmware eines Chips, der von der Firma Cavium entwickelt wurde. Aktiviert wurde die TLS-Funktion des Cavium-Chips jedoch nur in einer ungewöhnlichen Konfiguration. Cisco hat inzwischen eine Warnung veröffentlicht und das Problem hat die ID CVE-2015-4458 erhalten.

Neben den Cisco-Systemen gab es noch eine Reihe weiterer Server, die von diesem Problem betroffen waren. Bei einem einzigen konnte Pettersen den Betreiber erreichen. Es handelte sich um ein Gerät der Firma F5 mit einer veralteten Firmware. F5 hatte das Problem bereits selbst entdeckt und gemeinsam mit der Poodle-TLS-Lücke im vergangenen Jahr behoben.