Domain Name System Erste Exploits aufgetaucht

Nicht jeder Internetnutzer mag vom Domain Name System (DNS) gehört haben, genutzt hat es zweifelsohne aber jeder. DNS dient der Namensauflösung im Internet. Ohne diesen Dienst wäre es nicht möglich Adressen (wie gulli.com) in zugehörige IP-Adressen (81.95.6.68) aufzulösen. Seit ungefähr zwei Wochen ist für diesen Dienst eine kritische Sicherheitslücke bekannt. Entgegen aller Geheimhaltung gerieten erste Details über die Schwachstelle in die freie Wildbahn. Bisher sind zwei Exploits auf der Bildfläche aufgetaucht, mit denen es möglich sein soll, Internetdomains umzuleiten und vertrauliche Daten abzufangen.

Auf mehreren einschlägig bekannten Webseiten wurde das Exploit zur zugehörigen Schwachstelle veröffentlicht. Auch in der Exploitsammlung Metasploit wurde der nötige Code bereits eingepflegt. Im schlimmsten Fall und sollte der versuchte Angriff auf einen DNS-Server glücken, wäre es möglich DNS-Einträge zu manipulieren. Somit könnte ein Angreifer Domains auf Seiten seiner Wahl umleiten oder E-Mails und weitere sensible Inhalte für seine Zwecke abfangen.Getauft wurde die Sicherheitslücke auf den treffenden Namen "Cache Poisoning" (Zwischenspeicher-Vergiftung).

Dan Kaminsky hat bereits im Frühjahr dieses Jahres verlauten lassen, dass er einen elementaren Fehler in der Designstruktur des DNS-Systems ausfindig machen konnte. Seit dem gaben sich die Experten die Klinke in die Hand und waren bemüht, den Fehler zu finden. Schließlich handelt es sich dabei um einen Fehler, der vom Soft- und Hardwarehersteller völlig unabhängig ist. Die Lücke ist überall gegenwärtig, wo der DNS-Dienst zur Namensauflösung verwendet wird.

Vor mehr als einem Monat war der deutsche Security-Experte Halvar Flake dem Fehler bereits dicht auf den Fersen. Aufgrund der enormen Risiken und aus Furcht vor den möglichen Schäden erwuchs daraus eine internationale Zusammenarbeit. Mit dem einen Ziel, die Lücke zu finden und so schnell wie möglich einen Patch bereitzustellen.

Letztlich konnten zwei Japaner die Schwachstelle aufdecken. Zum persönlichen Vorteil kann sich ein Angreifer auf folgendem Wege dienlich machen. Nach einem erfolgreichen "exploiten" eines anfälligen DNS-Server kann er die gespeicherten Einträge (Records) verändern. Beispielsweise könnte er "www.gulli.com/news" auf "www.i-am-a-dns-hacker.de" umleiten. Für den User selbst bleibt der Vorgang mehr oder weniger unersichtlich, da weiterhin "www.gulli.com/news" in der Adresszeile des Browsers zu sehen ist. Sollte die unerwünschte Weiterleitung gelingen, stehen dem Angreifer dutzende Möglichkeiten für eine Attacke auf das System des Nutzers offen.

Kaminsky gilt als der eigentliche Entdecker der Schwachstelle im DNS-System und wird auch im Exploit-Code selbst als dieser gegrüßt. Nach dem er vor geraumer Zeit auf die Lücke aufmerksam geworden ist, hat er sich dazu entschlossen große Softwarekonzerne darauf hinzuweisen. Unternehmen wie Microsoft, Cisco und viele weitere haben darauf ein Gremium von Security-Experten zusammengestellt, welches sich mit der Findung der Schwachstelle befassen sollte. Unter dem Strich kam dabei am 9. Juli der wichtige DNS-Patch heraus. Aktuell soll nach der Installation des Patches keine Gefahr mehr bestehen. Organisationen wie das Computer Emergency Response Team (CERT) rufen aktuell alle Betreiber von DNS-System zur Installation des Patches auf. Ohne diesen Patch steigt in den kommenden Tagen, in Anbetracht der Veröffentlichung der Exploits, das Risiko eine unliebsame Überraschung zu erleben. (gS-)

(via packetstormsecurity.org, thx!)

• 10 Kommentare zum Artikel

• ich sags mal so: bekannt seit 2003 Security Associates Institute, Attacking the DNS protocol, 2003 ein paper gibts auch dazu.. wenn jemanden details interessieren [paper] also, neu ? keines wegs.. exploits sind schon seit damals aufm weg.. Zitat: Zitat von cronjob In den meisten Heimnetzen ist den Router der lokale DNS-Server! Müssen alle Router gepached werden oder betrifft der DNS-Designfehler ...

  Dieselhorst am 26.07.2008 16:50

• Zitat: Zitat von cronjob  Müssen alle Router gepached werden oder betrifft der DNS-Designfehler nicht die Fake-DNS-Server im router, die die Anfragen nur weiterleiten? MFG Was? Wenn Du intern nen DNS am Laufen hast, ja. CISCOs musst Du patchen, OpenWRT und so. Die sind meistens ja dafür da firmeninterne DNS-Dienste zu stellen. Zitat: also, neu ? keines ...

  Kontrolltroll am 27.07.2008 00:49
• [...] Diskussion lesen oder Artikel kommentieren