Sicherheitsforscher haben mehrere schwerwiegende Sicherheitslücken in dnsmasq entdeckt, einem Dienstprogramm, mit dem DNS-Dienste für zwei Linux-Systeme bereitgestellt werden, zu denen Router und IoT-Terminals gehören. Angreifer können Lücken ausnutzen, um Benutzer auf gefährdete Websites umzuleiten oder bösartigen Code auf anfälligen Geräten auszuführen.

Dnsmasq ist ein leichtes Tool, das DNS-Caching- und Weiterleitungsdienste bereitstellt. DNS und DHCP (Dynamic Host Configuration Protocol) Dieses Dienstprogramm gibt es seit zwanzig Jahren und ist Teil der Software, die in vielen Linux-Distributionen, einschließlich Android, Standard ist. Als Dienstprogramm zur Bereitstellung von Netzwerkdiensten wird dnsmasq häufig in Geräten wie kommerziellen Routern und Heimroutern verwendet und ist auch in vielen anderen Arten von eingebetteten und IoT-Systemen vorhanden, einschließlich Firewalls, VoIP-Telefonen und Auto-WLAN-Systemen.

Die Hauptanwendung von dnsmasq besteht darin, DNS-Abfragen für das Gerät, auf dem es ausgeführt wird, oder für andere zu lösen. Sie werden beispielsweise im Fall von Routern im Netzwerk identifiziert. Die Software leitet Anfragen an andere DNS-Server im Internet weiter oder sendet Antworten aus einem lokalen Cache, um den Prozess zu beschleunigen. Genau diese Caching-Funktion haben Forscher des israelischen IoT-Sicherheitsunternehmens JSOF gefunden.

JSOF hat in dnsmasq insgesamt sieben Sicherheitslücken gefunden, die sie gemeinsam als DNSpooq bezeichneten. Einige dieser Fehler ermöglichen DNS-Cache-Vergiftungsangriffe, indem das Caching nicht vertrauenswürdiger DNS-Einträge erzwungen wird. Dies bedeutet insbesondere, dass ein Gerät oder ein Computer, der versucht, auf einen gefährdeten Domänennamen zuzugreifen, auf einen von Hackern kontrollierten Server umgeleitet wird.

Eine DNS-Cache-Vergiftung ist keine neue Hacking-Technik. Die erste Verwendung stammt aus dem Jahr 2008, als der Sicherheitsforscher Dan Kaminsky eine Sicherheitslücke aufdeckte, die die beliebteste DNS-Serversoftware betrifft. Seine Verbreitung löste das aus, was damals als die weltweit größte koordinierte Maßnahme zur Behebung von Sicherheitslücken bezeichnet wurde. Gleichzeitig beschleunigte eine Reihe von Sicherheitserweiterungen des DNS-Protokolls die Überprüfung kryptografischer Signaturen von DNS-Datensätzen, um die Einführung von DNSSEC zu beschleunigen. Im vergangenen Jahr haben Forscher der University of California entlang des Tsinghua-Flusses eine andere Angriffsmethode namens SAD DNS entdeckt, die ebenfalls zu einer DNS-Cache-Vergiftung führen kann.

DNS-Hijacking, einschließlich Vergiftung Der DNS-Cache ist Teil davon und wird von verschiedenen Schadprogrammen und Gruppen von Angreifern verwendet, um Benutzer auf gefälschte Bank-Websites zu verweisen. Technisch gesehen müssen Websites, die HTTPS mit HTTP Strict Transport Security (HSTS) verwenden, geschützt werden. Obwohl Angreifer Benutzer durch Hijacking von DNS auf einen anderen Webserver leiten können, sollten sie das digitale Zertifikat der Website nicht fälschen können, was zu einem Fehler im Zusammenhang mit der Website im Browser führt.

Die umzusetzende Minderungsmaßnahme hängt von der Qualität der Validierung der Zertifikate innerhalb des betreffenden Kunden ab. Während moderne Browser über gute Methoden zur Zertifikatsüberprüfung verfügen, ist bekannt, dass mobile Anwendungen in diesem Bereich fehlschlagen. Darüber hinaus ist DNS nicht nur für Websites und Inhalte wichtig, die über HTTP bereitgestellt werden und in einem Browser oder einer Anwendung angezeigt werden. Es wird auch für E-Mail und praktisch jedes andere Protokoll verwendet, bei dem ein Remote-Server unter Verwendung eines Domänennamens kontaktiert wird, und kann die Überprüfung der Identität des Servers durch digitale Zertifikate unterstützen oder nicht.

Anstatt eine gesamte Website zu fälschen, können Angreifer mithilfe von DNS-Hijacking nur eine der externen Ressourcen ersetzen, die von einer Website geladen werden, z. B. eine JavaScript-Datei oder eine. Dies kann sogar dazu führen, dass im Rahmen eines gezielten Hackings bösartiger Code in den Browser oder die Anwendung des Opfers geladen wird.