Vor ein paar Tagen wurde die Nachricht veröffentlicht, dass in den C-Standardbibliotheken uClibc und uClibc-ng, verwendet in vielen eingebetteten und tragbaren Geräten, eine Schwachstelle wurde identifiziert (mit noch nicht zugewiesenem CVE), was das Ersetzen von Dummy-Daten im DNS-Cache ermöglicht, die verwendet werden können, um die IP-Adresse einer beliebigen Domäne im Cache zu fälschen und Anfragen an die Domäne an den Server des Angreifers umzuleiten.
Über das Problem wird erwähnt, dass dies betrifft verschiedene Linux-Firmware für Router, Access Points und IoT-Geräte, sowie eingebettete Linux-Distributionen wie OpenWRT und Embedded Gentoo.
Über Verwundbarkeit
Verletzlichkeit ist auf die Verwendung vorhersagbarer Transaktionskennungen im Code zum Senden von Abfragen zurückzuführen von DNS. Die DNS-Abfrage-ID wurde durch einfaches Erhöhen des Zählers ohne weitere Randomisierung der Portnummern ausgewählt, was ermöglichte es, den DNS-Cache zu vergiften durch präventives Senden von UDP-Paketen mit falschen Antworten (die Antwort wird akzeptiert, wenn sie vor der Antwort des echten Servers eintrifft und die korrekte Identifikation enthält).
Im Gegensatz zum 2008 vorgeschlagenen Kaminsky-Verfahren muss die Transaktions-ID nicht einmal erraten werden, da sie zunächst vorhersehbar ist (zunächst auf 1 gesetzt, die sich mit jeder Anfrage erhöht und nicht zufällig ausgewählt wird).
um sich zu schützen gegen ID-Raten, die Spezifikation empfiehlt ferner die Verwendung einer zufälligen Verteilung von Netzwerkportnummern des Ursprungs, von dem die DNS-Anfragen gesendet werden, was die unzureichende Größe der ID kompensiert.
Wenn die Port-Randomisierung aktiviert ist, muss zur Bildung einer Dummy-Antwort zusätzlich zur Auswahl einer 16-Bit-Kennung auch die Netzwerkportnummer ausgewählt werden. In uClibc und uClibc-ng war eine solche Randomisierung nicht explizit aktiviert (beim Aufrufen von bind wurde kein zufälliger Quell-UDP-Port angegeben) und ihre Implementierung hing von der Konfiguration des Betriebssystems ab.
Wenn die Port-Randomisierung deaktiviert ist, Die Bestimmung, welche Anforderungs-ID erhöht werden soll, ist als triviale Aufgabe gekennzeichnet. Aber selbst im Fall der Randomisierung muss der Angreifer nur den Netzwerkport aus dem Bereich 32768-60999 erraten, wofür er das massive gleichzeitige Senden von Dummy-Antworten auf verschiedenen Netzwerkports nutzen kann.
Das Problem wurde in allen aktuellen Versionen von uClibc und uClibc-ng bestätigt, einschließlich der neuesten Versionen von uClibc 0.9.33.2 und uClibc-ng 1.0.40.
„Es ist wichtig zu beachten, dass eine Schwachstelle, die eine Standard-C-Bibliothek betrifft, ziemlich komplex sein kann“, schrieb das Team diese Woche in einem Blogbeitrag.
"Es würde nicht nur Hunderte oder Tausende von Aufrufen der anfälligen Funktion an mehreren Stellen in einem einzigen Programm geben, sondern die Schwachstelle würde auch eine unbestimmte Anzahl anderer Programme verschiedener Anbieter betreffen, die für die Verwendung dieser Bibliothek konfiguriert sind."
Im September 2021 wurden Informationen über die Schwachstelle verschickt an CERT/CC für die koordinierte Array-Vorbereitung. Im Januar 2022, Das Problem wurde mit mehr als 200 Herstellern geteilt verbunden mit CERT/CC.
Im März gab es einen Versuch, den Betreuer des uClibc-ng-Projekts separat zu kontaktieren, aber er antwortete, dass er die Schwachstelle nicht selbst beheben könne, und empfahl die öffentliche Offenlegung von Informationen über das Problem, in der Hoffnung, Hilfe bei der Entwicklung einer Lösung zu erhalten die Gemeinde. Seitens der Hersteller kündigte NETGEAR die Veröffentlichung eines Updates mit der Beseitigung der Schwachstelle an.
Es ist wichtig zu beachten, dass eine Schwachstelle, die eine Standard-C-Bibliothek betrifft, ziemlich komplex sein kann. Es würde nicht nur Hunderte oder Tausende von Aufrufen der anfälligen Funktion an mehreren Stellen in einem einzigen Programm geben, sondern die Anfälligkeit würde eine unbestimmte Anzahl anderer Programme von mehreren Anbietern betreffen, die für die Verwendung dieser Bibliothek konfiguriert sind.
Es wird darauf hingewiesen, dass sich die Schwachstelle in Geräten vieler Hersteller manifestiert (z. B. wird uClibc in Firmware von Linksys, Netgear und Axis verwendet), aber da die Schwachstelle in uClibc und uClibc-ng ungepatcht bleibt, werden detaillierte Informationen zu Geräten und spezifischen Hersteller, bei deren Produkten ein Problem auftritt, bis sie offengelegt werden.
Schließlich wenn Sie mehr darüber wissen möchtenkönnen Sie die Details überprüfen im folgenden Link.