Wenn wir uns im Internet bewegen, werden unsere Daten ständig über sogenannte Protokolle ausgetauscht. Diese legen fest, wie diese Kommunikation abläuft und wie Daten sicher, zuverlässig und möglichst schnell übertragen werden. Zu den grundlegenden Protokollen des Internets gehören das Internet Protocol (IP), das Transmission Control Protocol (TCP) und Transport Layer Security (TLS). Vor einigen Jahren begann Google mit der Entwicklung des Netzwerkprotokolls QUIC. Es soll unter anderem den Aufbau von Verbindungen beschleunigen und die Datenübertragung effizienter machen. Seit 2021 ist QUIC standardisiert und findet zunehmend Verbreitung.
Testwerkzeug QUIC-Attacker
Sicherheitsforscher der Ruhr-Universität Bochum haben nun mehrere Sicherheitslücken sowie Abweichungen vom QUIC-Standard in verschiedenen Server-Implementierungen entdeckt. Mithilfe des eigens entwickelten Testwerkzeugs QUIC-Attacker konnten sie Protokollnachrichten gezielt zusammenstellen, verändern und an QUIC-Implementierungen senden. Dadurch ließen sich Verhaltensweisen untersuchen, die mit bisherigen Testwerkzeugen nicht gezielt überprüft werden konnten.
Ihre Arbeit präsentieren die Forscher vom Lehrstuhl für Netz- und Datensicherheit der Fakultät für Informatik auf der Top-Konferenz USENIX Security Symposium vor, die vom 12. bis 14. August in Baltimore, USA, stattfand. „QUIC verfügt über umfangreiche Sicherheitsmechanismen. Die eigentliche Herausforderung liegt jedoch in der korrekten Umsetzung. Ausgedruckt würden die RFCs rund 250 Seiten umfassen. Sie beschreiben viele neue Komponenten und komplexe Zusammenhänge. Für Entwickler*innen ist es daher anspruchsvoll, alle Vorgaben vollständig und korrekt umzusetzen.“, erklärt PhD Nurullah Erinola, der Mitglied im Exzellenzcluster CASA „Securing the Digital Society“ ist.
Acht Denial-of-Service-Schwachstellen und zwei Injection-Schwachstellen
Im Rahmen ihrer Untersuchung analysierte das Forschungsteam 15 verschiedene Open-Source-Implementierungen von QUIC-Servern. Darunter befanden sich auch Implementierungen großer Unternehmen, beispielsweise XQUIC von Alibaba. Die Ergebnisse zeigen deutliche Unterschiede zwischen den untersuchten Implementierungen. Insgesamt identifizierten sie acht sogenannte Denial-of-Service-Schwachstellen, die sich durch speziell konstruierte Nachrichtenkombinationen ausnutzen lassen und dazu führen können, dass Server abstürzen. Zusätzlich fanden sie zwei Injection-Schwachstellen, bei denen ein Angreifer Protokollnachrichten beim Verbindungsaufbau zwischen einem Client und Server einschleusen kann. Besonders schwerwiegend war eine der beiden Injection-Schwachstellen in Alibaba’s XQUIC. Die Implementierung führte bestimmte vom Standard vorgeschriebene Prüfungen nicht vollständig aus. Dadurch konnte ein Angreifer während des Verbindungsaufbau zwischen einem Client und Server Anwendungsdaten einschleusen. Die Schwachstelle wurde als CVE-2026-6328 erfasst, also in einem standardisierten Verzeichnis zur eindeutigen Identifizierung öffentlich bekannter Sicherheitslücken. Die Schwachstelle wird dabei als schwerwiegend (CVSS 8,3/10) eingestuft.
QUIC Attacker steht als Open-Source-Werkzeug zur Verfügung
Alle entdeckten Auffälligkeiten wurden verantwortungsvoll an die betroffenen Entwicklerteams gemeldet. „Wir haben positives Feedback aus der Industrie erhalten. Die Verantwortlichen waren dankbar, dass wir ihnen geholfen haben, ihre Implementierungen sicherer zu machen“, sagt Erinola. Um die Sicherheit von QUIC-Implementierungen langfristig zu verbessern, stellt das Forschungsteam QUIC-Attacker als Open-Source-Werkzeug bereit. Damit können Entwickler*innen ihre QUIC-Implementierungen gezielt auf ihre korrekte Funktionsweise und mögliche Schwachstellen hin untersuchen. Auch andere Forschungsteams können auf dem Werkzeug aufbauen.
Die Arbeit knüpft an frühere Erfolge des Lehrstuhls für Netz- und Datensicherheit unter der Leitung von CASA-Principal Investigator Prof. Dr. Jörg Schwenk an. Das ebenfalls dort entwickelte Framework TLS-Attacker, ein Open-Source-Werkzeug zur flexiblen Analyse von TLS-Implementierungen, wird seit Jahren in Forschung und Praxis eingesetzt, ist weltweit in der Sicherheitsforschung verbreitet und hat international große Anerkennung erhalten.
Allgemeiner Hinweis: Mit einer möglichen Nennung von geschlechtszuweisenden Attributen implizieren wir alle, die sich diesem Geschlecht zugehörig fühlen, unabhängig vom biologischen Geschlecht.
