Bug de DNS afecta milhões de routers e smart devices

Há novo bug que afecta uma implementação do DNS em routers e dispositivos IoT, que os pode redireccionar para sites maliciosos.

O DNS é um dos serviços fundamentais em que a internet assenta, sendo responsável pela tradução dos nomes dos sites nos respectivos endereços IP que permitem que as comunicações cheguem até eles. Desta vez temos uma vulnerabilidade na biblioteca uClibc e uClibc-ng (um fork da equipa do OpenWRT), que permite que os dispositivos afectados possam ser redireccionados para sites maliciosos apesar de estarem a tentar aceder a sites legítimos.

Esta falha permite o chamado "DNS poisoning", que permite que um atacante "envenene" o sistema de modo a direccionar a vítima para um endereço IP malicioso quando tenta descobrir o IP legítimo de um site. Ou seja, mesmo que o dispositivo tentasse aceder ao site correcto, pode ir parar ao site errado, facilitando ataques de phishing e outros.

Como estas bibliotecas são bastante populares entre fabricantes de routers (usadas pela Netgear, Axis, Linksys, e outros) e também por certas distros Linux orientadas para dispositivos IoT e smart devices, o universo de equipamentos afectados é de muitos milhões.

A falha foi descoberta e reportada em Setembro de 2021, e em Janeiro de 2022 foi reencaminhada para mais de 200 empresas de produtos afectados. No entanto, até à data ainda não foi lançada qualquer correcção, e conhecendo-se o panorama da (falta de) actualizações neste categoria de produtos, é garantido que a maioria deles irá permanecer vulnerável.