Abo
  • Services:
Anzeige
Erneut sind unsichere IP-Kameras aufgetaucht.
Erneut sind unsichere IP-Kameras aufgetaucht. (Bild: F-Secure)

Foscam: IoT-Hersteller ignoriert Sicherheitslücken monatelang

Erneut sind unsichere IP-Kameras aufgetaucht.
Erneut sind unsichere IP-Kameras aufgetaucht. (Bild: F-Secure)

Die IoT-Apokalypse hört nicht auf: Erneut wurden zahlreiche Schwachstellen in einer IP-Kamera dokumentiert. Der Hersteller reagiert mehrere Monate lang nicht auf die Warnungen, bestreitet aber einige der Schilderungen.

Der chinesiche IoT-Hersteller Foscam stellt unter verschiedenen Markennamen IP-Kameras her, die offenbar zahlreiche Sicherheitslücken enthalten. Ein Bericht [PDF] der finnischen Sicherheitsfirma F-Secure listet 18 verschiedene Schwachstellen auf, die der Hersteller auch nach mehrmonatiger Frist offenbar nicht schließen konnte oder wollte.

Anzeige

Die Schwachstellen betreffen die Geräte mit dem Namen Opticam i5 HD, auch die Geräte mit dem Namen Foscam C2 sind anfällig für Angriffe. Das Modell Foscam C2 wird auch in Deutschland vertrieben. Angreifer können unter anderem ohne Zugangskontrolle Zugriff auf den internen Speicher des Gerätes erlangen und auf diesem Wege Befehle ausführen.

Auch der Zugriff auf die Weboberfläche ist nicht abgesichert. Als Benutzername wird admin eingegeben, ein Passwort ist nicht erforderlich. Immerhin: Dieses Passwort kann vom Nutzer geändert werden. Über die Oberfläche können nicht nur Dateien manipuliert, sondern auch der Videofeed der Kamera selbst angezeigt werden. Der integrierte FTP-Server verwendet ein hardcodiertes Passwort, das nicht den üblichen Kriterien für sichere Passwörter entsprechen dürfte - denn es ist leer. Ein sicheres Passwort kann leider nicht vergeben werden.

Zahlreiche weitere Schwachstellen

Der Bericht listet zahlreiche weitere Schwachstellen in den beiden Geräten auf. So können vom Angreifer Befehle in die Datei im Verzeichnis /mnt/mtd/boot.sh eingeführt werden, zahlreiche Berechtigungen sind falsch gesetzt und auch die integrierte Firewall arbeitet nicht korrekt. Angreifer können außerdem die verschlüsselte Konfigurationsdatei auslesen und herunterladen. Diese ist nicht mit individuellen Passwörtern gesichert, sondern ebenfalls mit einem hardcodierten String. Wer die Firmware analysiert, kann also das entsprechende Passwort herausfinden. So viel Arbeit ist aber nicht unbedingt notwendig, weil das Admin-Interface kein Rate-Limiting beim Ausprobieren von Passwörtern vorsieht. Mit Hilfe eines Wörterbuchs kann daher ein Brute-Force-Angriff durchgeführt werden.

"Die Sicherheit wurde bei diesen Produkten komplett ignoriert", sagte der F-Secure-Forscher Harry Sintonen. "Augenscheinlich ging es dem Hersteller nur darum, das Gerät schnell fertigzustellen und auf den Markt zu werfen. Gängige Sicherheitspraktiken wurden links liegen gelassen, das gefährdet Nutzer und Netzwerke. Ironischerweise sollen diese Kameras mehr Sicherheit zu Hause bieten - während sie gleichzeitig das virtuelle Heim unsicherer machen."

F-Secure empfiehlt, die Kamera - wenn überhaupt - in einem segmentierten Netzwerkbereich mit einer effektiven Zugangskontrolle zu betreiben. Gegen die hardcodierten Zugangsdaten für den FTP-Server gibt es allerdings keine Abhilfe, auch die anderen lokal ausnutzbaren Schwachstellen können vom Nutzer nicht behoben werden.

Nachtrag vom 19. Juni 2017, 13:52 Uhr

Auf Nachfrage von Golem.de bestreitet Foscam einige der von F-Secure beschriebenen Sicherheitslücken (PDF). Das Unternehmen bedankt sich bei F-Secure für die Hinweise. F-Secure bleibt auch auf Nachfrage von Golem.de im Wesentlichen bei der oben beschriebenen Darstellung der Sicherheitslücken.


eye home zur Startseite
thesmann 21. Jun 2017

Ich hab nie verstanden warum man direkt auf eine Kamera zugreifen soll. Idealerweise...

IchbinGroot 20. Jun 2017

Ich bin Groot. ;-)

Charles... 20. Jun 2017

Aha. Dann erklär mir doch mal, wie genau du mein System angreifen würdest...

chefin 20. Jun 2017

Das ist dann eine DMZ und kein Gäste-WLAN. Der Unterschied ist das Passwort. Manche...

johnripper 19. Jun 2017

Früher haben die Hersteller auch nicht dermaßen auf Sicherheit ge*** wie heute. Internet...



Anzeige

Stellenmarkt
  1. Horváth & Partners Management Consultants, München, Hamburg, Berlin, Frankfurt, Stuttgart, Düsseldorf
  2. Daimler AG, Berlin
  3. Horváth & Partners Management Consultants, Berlin, Düsseldorf, Frankfurt am Main, Hamburg, München, Stuttgart
  4. RATIONAL AG, Landsberg am Lech


Anzeige
Hardware-Angebote
  1. 849,00€ (UVP € 1.298,99€)

Folgen Sie uns
       


  1. GTA 5

    Goldener Revolver für Red Dead Redemption 2 versteckt

  2. Geldwäsche

    EU will den Bitcoin weniger anonym machen

  3. Soziale Medien

    Facebook-Forscher finden Facebook problematisch

  4. Streit um Stream On

    Die Telekom spielt das Uber-Spiel

  5. US-Verteidigungsministerium

    Pentagon forschte jahrelang heimlich nach Ufos

  6. Age of Empires (1997)

    Mit sanftem "Wololo" durch die Antike

  7. Augmented Reality

    Google stellt Project Tango ein

  8. Uber vs. Waymo

    Uber spionierte Konkurrenten aus

  9. Die Woche im Video

    Amerika, Amerika, BVG, Amerika, Security

  10. HTTPS

    Fritzbox bekommt Let's Encrypt-Support und verrät Hostnamen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
4K UHD HDR: Das ZDF hat das Internet nicht verstanden
4K UHD HDR
Das ZDF hat das Internet nicht verstanden
  1. Cisco und Lancom Wenn Spionagepanik auf Industriepolitik trifft
  2. Encrypted Media Extensions Web-DRM ist ein Standard für Nutzer

King's Field 1 (1994): Die Saat für Dark Souls
King's Field 1 (1994)
Die Saat für Dark Souls
  1. Blade Runner (1997) Die unsterbliche, künstliche Erinnerung
  2. SNES Classic Mini im Vergleichstest Putzige Retro-Konsole mit suboptimaler Emulation

Amazon Video auf Apple TV im Hands on: Genau das fehlt auf dem Fire TV
Amazon Video auf Apple TV im Hands on
Genau das fehlt auf dem Fire TV
  1. Amazon Verkaufsbann für Apple TV bleibt bestehen
  2. Smartphone-Speicherkapazität Wie groß der Speicher eines iPhones sein sollte
  3. Mate 10 Pro im Test Starkes Smartphone mit noch unauffälliger KI

  1. Re: Börsen ohne Identitätsnachweis

    Seismoid | 18:13

  2. Re: AVM Bug Bounty

    hannob (golem.de) | 18:10

  3. Alles Geschmackssache

    cicero | 18:09

  4. Re: Witzlos

    Dungeon Master | 18:07

  5. geschickte Werbemaßnahme

    cicero | 18:03


  1. 14:17

  2. 13:34

  3. 12:33

  4. 11:38

  5. 10:34

  6. 08:00

  7. 12:47

  8. 11:39


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel