Uclibc: Alte DNS-Lücke betrifft viele IoT-Geräte

Eine in Embedded-Geräten eingesetzte Bibliothek ist von Kaminskys DNS-Angriff betroffen, doch die Auswirkungen dürften sich in Grenzen halten.

Artikel veröffentlicht am 4. Mai 2022, 14:00 Uhr, Hanno Böck

Das Logo der Bibliothek Uclibc-ng, die von einer Sicherheitslücke im DNS-Stack betroffen ist (Bild: Uclibc-ng)

Die IT-Sicherheitsfirma Nozomi Networks meldet, dass sie in der Bibliothek Uclibc eine Sicherheitslücke im DNS-Stack gefunden hat. Dabei handelt es sich um eine Schwachstelle, die ursprünglich vom inzwischen verstorbenen IT-Sicherheitsforscher Dan Kaminsky im Jahr 2008 entdeckt worden war. Doch die Situation heute ist mit 2008 nicht direkt vergleichbar, da inzwischen fast alle Internetverbindungen mit TLS zusätzlich abgesichert sind.

Bei DNS-Verbindungen wird üblicherweise das UDP-Protokoll genutzt. Die Eigenschaften von UDP ermöglichen es, dass ein Angreifer eine Antwort auf eine DNS-Anfrage schicken kann, ohne dass der Empfänger merkt, dass die Antwort von der legitimen Absender-IP stammte. Somit kann ein Angreifer eine falsche DNS-Antwort generieren. Damit ein solcher Angriff funktioniert, muss der Angreifer eine Transaktions-ID erraten.

Seit der Entdeckung von Kaminsky ist es daher üblich, dass diese Transaktions-ID zufällig gewählt wird. Sie ist 16 Bit lang. Da ein Angreifer zusätzlich den Port einer Verbindung erraten müsste, der ebenfalls in modernen Systemen zufällig gewählt wird, ist ein Angriff kaum noch praktikabel.

Uclibc und Uclibc-ng haben Randomisierung bei DNS-Anfragen nicht implementiert

Wie Nozomi nun herausgefunden hat, nutzt die Uclibc-Bibliothek keine zufälligen Transaktions-IDs, sie werden vielmehr einfach hochgezählt. Sprich: Die Gegenmaßnahme, die 2008 fast alle gängigen DNS-Implementierungen umgesetzt haben, fehlt bei Uclibc.

Uclibc ist eine Implementierung der C-Standardbibliothek, die häufig in Embedded-Geräten genutzt wird. Die originale Uclibc-Bibliothek wird allerdings schon länger nicht mehr weiterentwickelt, das letzte Release stammt aus dem Jahr 2012. Ein Fork mit dem Namen Uclibc-ng wird allerdings weiterhin aktiv entwickelt. Sowohl die originale Uclibc-Bibliothek als auch der Fork sind von der Lücke betroffen, ein Update gibt es in beiden Fällen bisher nicht. Da es keinen Fix gibt, hat Nozomi sich entschieden, keine Liste der betroffenen Geräte zu veröffentlichen.

Die Auswirkungen der Lücke sind im Vergleich zu 2008 als eher gering einzuschätzen. Während 2008 Klartext-Verbindungen im Internet noch gängig waren, sind heute die allermeisten Internetverbindungen über TLS abgesichert. Sprich: Ein Angreifer könnte zwar eine falsche DNS-Antwort erzeugen, spätestens bei der Prüfung des TLS-Zertifikats wäre aber in den meisten Fällen Schluss.