FragAttacks: Neue Schwachstellen gefährden praktisch alle WLAN-Geräte

Der Sicherheitsexperte Mathy Vanhoef hat sich erneut mit dem Thema WLAN befasst und dabei drei Design-Schwächen im WLAN-Standard sowie neun Implementierungsfehler entdeckt. Betroffen sind alle Verschlüsselungen vom fast vergessenen WEP bis zum aktuellen WPA3, einige der Sicherheitslücken existieren schon seit dem Jahr 1997. Praktisch jedes WLAN-fähige Geräte ist von mindestens einer dieser Schwachstelle betroffen.

Vanhoef hat die zwölf Fehler unter dem Schlagwort FragAttacks (Fragmentation and Aggregation Attacks) zusammengefasst. Die beschriebenen Angriffe lassen sich nur durchführen, wenn sich der Angreifer in Reichweite des WLAN-Netzwerks befindet. Die drei Design-Fehler lassen sich nur schwer ausnutzen, da sie entweder eine Nutzerinteraktion oder ausgefallene Netzwerkeinstellungen erfordern. Schwerer wiegen die Implementierungsfehler, die sich aus weit verbreiteten Programmierfehlern ergeben und teils trivial auszunutzen sind. In einem Video zeigt Vanhoef, wie ein Angreifer sensible Informationen wie Benutzernamen und Passwörter abgreifen kann, unsichere IoT-Geräte steuert und einen veralteten PC mit Windows 7 übernimmt:

Hinweis: YouTube-Videos sind deaktiviert!
Inhalte von Google und YouTube aktivieren

Ein Grund zur Panik besteht allerdings nicht, denn Vanhoef und sein Team haben über die vergangenen neun Monate eng mit den beiden Firmen- und Industriekonsortien Wi-Fi Alliance und ICASI (Industry Consortium for Advancement of Security on the Internet) zusammengearbeitet, damit die betroffenen Hersteller entsprechende Updates bereitstellen. Ein Problem bleiben dabei IoT-Geräte sowie veraltete Hardware, die nicht bzw. nicht mehr mit Updates versorgt werden. Die Mehrzahl der Schwachstellen lässt sich umgehen, indem Webseiten nur über HTTPS aufgerufen werden. Die vollständigen Untersuchungsergebnisse will der Sicherheitsforscher auf der USENIX Security Conference vorstellen, zudem ist ein Vortrag auf der Black Hat USA im Sommer geplant.

Design-Schwächen im WLAN-Standard:

• CVE-2020-24586: Fragment-Cache-Angriff (Fragmente werden nicht aus dem Speicher gelöscht, wenn eine Verbindung zu einem Netzwerk hergestellt bzw. wiederhergestellt wird)
• CVE-2020-24587: Angriff mit gemischten Schlüsseln (Zusammensetzen von Fragmenten, die mit verschiedenen Schlüsseln verschlüsselt wurden)
• CVE-2020-24588: Aggregationsangriff (Akzeptieren von Nicht-SPP-A-MSDU-Frames)

Implementierungsfehler bezüglich des Umgangs mit Klartext-Frames in einem geschützten Netzwerk:

• CVE-2020-26140: Akzeptieren von Klartext-Daten-Frames
• CVE-2020-26143: Akzeptieren fragmentierter Klartext-Daten-Frames
• CVE-2020-26144: Akzeptieren von Klartext-A-MSDU-Frames mit führendem RFC1042-Header und EtherType EAPOL
• CVE-2020-26145: Akzeptieren von Klartext-Broadcast-Fragmenten als vollständige Frames

Andere Implementierungsfehler:

• CVE-2020-26139: Weiterleiten von EAPOL-Frames, obwohl der Absender noch nicht authentifiziert ist (sollte nur APs betreffen)
• CVE-2020-26141: TKIP-MIC (Message Integrity Check) fragmentierter Frames wird nicht überprüft
• CVE-2020-26142: Fragmentierte Frames als vollständige Frames verarbeiten
• CVE-2020-26146: Zusammensetzen verschlüsselter Fragmente mit nicht aufeinander folgenden Paketnummern
• CVE-2020-26147: Zusammensetzen verschlüsselter und nicht verschlüsseler Fragmente

Selber testen
Vanhoef hat ein Tool für 45 Testfälle auf Github bereitgestellt. Dieses eignet sich sowohl für Heim- als auch Firmennetzwerke, benötigt für zuverlässige Diagnosen allerdings modifizierte Treiber. Wer solche Treiber nicht installieren kann, sollte auf ein USB-Image ausweichen, das neben den modifizierten Treibern auch eine vorkonfigurierte Python-Umgebung umfasst. PoC-Code (Proof of Concept), welcher das Ausnutzen der Schwachstellen demonstriert, soll zu einem späteren Zeitpunkt folgen, da einige Updates noch auf sich warten lassen.