Sicherheitslücken im Controller: Elektronische Verkehrsschilder sind manipulierbar
In der Firmware mehrerer Controller-Modelle des US-amerikanischen Herstellers Daktronics klaffen mehrere teils kritische Sicherheitslücken. Wie Securityweek unter Verweis auf Angaben des Entdeckers berichtet(öffnet im neuen Fenster), können Angreifer angezeigte Inhalte auf elektronischen Straßenschildern oder Werbetafeln manipulieren, die durch die betroffenen Controller gesteuert werden.
Die US-amerkanische Cybersicherheitsbehörde Cisa hatte bereits am 25. Juni eine Warnmeldung zu den Sicherheitslücken(öffnet im neuen Fenster) veröffentlicht. Demnach sind mehrere Firmware-Versionen der Controller-Modelle VFC-DMP-5000, DMP-5000 und DMP-8000 betroffen. Alle drei Modelle gelten als anfällig für CVE-2026-28701(öffnet im neuen Fenster), CVE-2026-33560(öffnet im neuen Fenster) und CVE-2026-31928(öffnet im neuen Fenster).
Angreifer können aufgrund dieser Lücken beispielsweise ohne vorherige Authentifizierung beliebige Dateisystempfade auflisten oder mit Authentifizierung beliebige Dateien hochladen, die nicht weiter überprüft werden – darunter auch ausführbare Dateien. Die dritte Sicherheitslücke bezieht sich auf schwache Standard-Zugangsdaten für ein Admin-Konto, die Angreifern vollständige Kontrolle über das jeweilige System geben.
Schilder teilweise online erreichbar
Wie viele Controller tatsächlich gefährdet sind, ist unklar. Den Angaben zufolge liefert Daktronics seine Produkte nicht nur in den USA aus, sondern weltweit. Auch in Deutschland hat das Unternehmen seit dem Jahr 2003 eine Niederlassung(öffnet im neuen Fenster). Neben elektronischen Verkehrsschildern stellt Daktronics große Werbe- und Videodisplays für Einkaufszentren, Sportstätten und andere Einsatzzwecke her.
Thomas Jou, der Entdecker der drei Sicherheitslücken, erklärte Securityweek, es sei Aufgabe der jeweiligen Betreiber, ihre Systeme so abzusichern, dass diese nicht direkt über das Internet erreichbar seien. Dennoch will der Sicherheitsforscher mehrere online erreichbare und angreifbare Daktronics-Controller identifiziert haben. Die Anzahl wird im Bericht aber nicht genannt.
Die Auswirkungen der Lücken sollen potenziell weitreichend sein. "In der Praxis könnte ein Angreifer die Anzeige manipulieren, indem er falsche oder bösartige Meldungen auf Werbetafeln und Verkehrsschildern oder gefälschte Warnmeldungen einblendet – bis hin zur vollständigen Kompromittierung des Geräts, auch wenn dieser letzte Schritt in der Praxis nicht trivial ist", erklärte Jou.
Patches sind verfügbar
Betreiber, die Anzeigetafeln mit den betroffenen Controllern im Einsatz haben, sollten deren Firmware aktualisieren, um die Geräte vor möglichen Angriffen zu schützen. Als gepatcht gelten jeweils alle Versionen ab 8.117.0.x, 9.43.0.x oder 10.34.0.x.
Der Hersteller empfiehlt zudem, die Standardpasswörter zu ändern und stattdessen auf sichere und je Gerät individuelle Zugangsdaten auszuweichen. Laut Jou wurden die Standard-Anmeldedaten bei zahlreichen über das Internet erreichbaren Daktronics-Controllern nie geändert, da das System dies nicht erzwingt.
- Anzeige Hier geht es zu den besten Monitoren bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.