Abo
  • Services:
Anzeige
Erneut sind unsichere IP-Kameras aufgetaucht.
Erneut sind unsichere IP-Kameras aufgetaucht. (Bild: F-Secure)

Foscam: IoT-Hersteller ignoriert Sicherheitslücken monatelang

Erneut sind unsichere IP-Kameras aufgetaucht.
Erneut sind unsichere IP-Kameras aufgetaucht. (Bild: F-Secure)

Die IoT-Apokalypse hört nicht auf: Erneut wurden zahlreiche Schwachstellen in einer IP-Kamera dokumentiert. Der Hersteller reagiert mehrere Monate lang nicht auf die Warnungen, bestreitet aber einige der Schilderungen.

Der chinesiche IoT-Hersteller Foscam stellt unter verschiedenen Markennamen IP-Kameras her, die offenbar zahlreiche Sicherheitslücken enthalten. Ein Bericht [PDF] der finnischen Sicherheitsfirma F-Secure listet 18 verschiedene Schwachstellen auf, die der Hersteller auch nach mehrmonatiger Frist offenbar nicht schließen konnte oder wollte.

Anzeige

Die Schwachstellen betreffen die Geräte mit dem Namen Opticam i5 HD, auch die Geräte mit dem Namen Foscam C2 sind anfällig für Angriffe. Das Modell Foscam C2 wird auch in Deutschland vertrieben. Angreifer können unter anderem ohne Zugangskontrolle Zugriff auf den internen Speicher des Gerätes erlangen und auf diesem Wege Befehle ausführen.

Auch der Zugriff auf die Weboberfläche ist nicht abgesichert. Als Benutzername wird admin eingegeben, ein Passwort ist nicht erforderlich. Immerhin: Dieses Passwort kann vom Nutzer geändert werden. Über die Oberfläche können nicht nur Dateien manipuliert, sondern auch der Videofeed der Kamera selbst angezeigt werden. Der integrierte FTP-Server verwendet ein hardcodiertes Passwort, das nicht den üblichen Kriterien für sichere Passwörter entsprechen dürfte - denn es ist leer. Ein sicheres Passwort kann leider nicht vergeben werden.

Zahlreiche weitere Schwachstellen

Der Bericht listet zahlreiche weitere Schwachstellen in den beiden Geräten auf. So können vom Angreifer Befehle in die Datei im Verzeichnis /mnt/mtd/boot.sh eingeführt werden, zahlreiche Berechtigungen sind falsch gesetzt und auch die integrierte Firewall arbeitet nicht korrekt. Angreifer können außerdem die verschlüsselte Konfigurationsdatei auslesen und herunterladen. Diese ist nicht mit individuellen Passwörtern gesichert, sondern ebenfalls mit einem hardcodierten String. Wer die Firmware analysiert, kann also das entsprechende Passwort herausfinden. So viel Arbeit ist aber nicht unbedingt notwendig, weil das Admin-Interface kein Rate-Limiting beim Ausprobieren von Passwörtern vorsieht. Mit Hilfe eines Wörterbuchs kann daher ein Brute-Force-Angriff durchgeführt werden.

"Die Sicherheit wurde bei diesen Produkten komplett ignoriert", sagte der F-Secure-Forscher Harry Sintonen. "Augenscheinlich ging es dem Hersteller nur darum, das Gerät schnell fertigzustellen und auf den Markt zu werfen. Gängige Sicherheitspraktiken wurden links liegen gelassen, das gefährdet Nutzer und Netzwerke. Ironischerweise sollen diese Kameras mehr Sicherheit zu Hause bieten - während sie gleichzeitig das virtuelle Heim unsicherer machen."

F-Secure empfiehlt, die Kamera - wenn überhaupt - in einem segmentierten Netzwerkbereich mit einer effektiven Zugangskontrolle zu betreiben. Gegen die hardcodierten Zugangsdaten für den FTP-Server gibt es allerdings keine Abhilfe, auch die anderen lokal ausnutzbaren Schwachstellen können vom Nutzer nicht behoben werden.

Nachtrag vom 19. Juni 2017, 13:52 Uhr

Auf Nachfrage von Golem.de bestreitet Foscam einige der von F-Secure beschriebenen Sicherheitslücken (PDF). Das Unternehmen bedankt sich bei F-Secure für die Hinweise. F-Secure bleibt auch auf Nachfrage von Golem.de im Wesentlichen bei der oben beschriebenen Darstellung der Sicherheitslücken.


eye home zur Startseite
thesmann 21. Jun 2017

Ich hab nie verstanden warum man direkt auf eine Kamera zugreifen soll. Idealerweise...

IchbinGroot 20. Jun 2017

Ich bin Groot. ;-)

Charles... 20. Jun 2017

Aha. Dann erklär mir doch mal, wie genau du mein System angreifen würdest...

chefin 20. Jun 2017

Das ist dann eine DMZ und kein Gäste-WLAN. Der Unterschied ist das Passwort. Manche...

johnripper 19. Jun 2017

Früher haben die Hersteller auch nicht dermaßen auf Sicherheit ge*** wie heute. Internet...



Anzeige

Stellenmarkt
  1. über duerenhoff GmbH, Hannover
  2. Münchener Rückversicherungs-Gesellschaft AG, München
  3. Remira GmbH, Bochum
  4. Bundeskriminalamt, Meckenheim


Anzeige
Spiele-Angebote
  1. 19,99€
  2. (-80%) 4,99€
  3. (-13%) 34,99€

Folgen Sie uns
       


  1. Cloud IoT Core

    Googles Cloud verwaltet weltweit IoT-Anlagen

  2. Schweden

    Netzbetreiber bietet 10 GBit/s für 45 Euro

  3. Reverse Engineering

    Das Xiaomi-Ökosystem vom Hersteller befreien

  4. Fritzbox 7583

    AVM zeigt neuen Router für diverse Vectoring-Techniken

  5. Halbleiterwerk

    Samsung rüstet Fab 3 für sechs Milliarden US-Dollar auf

  6. Archos Hello

    Smarter Lautsprecher mit vollwertigem Android

  7. Automaton Games

    Mavericks will Battle Royale für bis zu 400 Spieler bieten

  8. Sipgate

    App Satellite hat Probleme mit dem Vodafone-Netz

  9. AMDs Embedded-Pläne

    Ein bisschen Wunschdenken, ein bisschen Wirklichkeit

  10. K-1 Mark II

    Pentax bietet Sensorwechsel für seine Vollformat-DSLR an



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Age of Empires Definitive Edition Test: Trotz neuem Look zu rückständig
Age of Empires Definitive Edition Test
Trotz neuem Look zu rückständig
  1. Echtzeit-Strategie Definitive Edition von Age of Empires hat neuen Termin
  2. Matt Booty Mr. Minecraft wird neuer Spiele-Chef bei Microsoft
  3. Vorschau Spielejahr 2018 Zwischen Kuhstall und knallrümpfigen Krötern

Homepod im Test: Smarter Lautsprecher für den Apple-affinen Popfan
Homepod im Test
Smarter Lautsprecher für den Apple-affinen Popfan
  1. Rückstände Homepod macht weiße Ringe auf Holzmöbeln
  2. Smarter Lautsprecher Homepod schwer reparierbar
  3. Smarter Lautsprecher Homepod-Reparaturen kosten fast so viel wie ein neues Gerät

HP Omen X VR im Test: VR auf dem Rücken kann nur teils entzücken
HP Omen X VR im Test
VR auf dem Rücken kann nur teils entzücken
  1. 3D Rudder Blackhawk Mehr Frags mit Fußschlaufen
  2. Kreativ-Apps für VR-Headsets Austoben im VR-Atelier
  3. Apps und Games für VR-Headsets Der virtuelle Blade Runner und Sport mit Sparc

  1. Re: OT: In Deutschland derweil: Radweg in NRW um...

    cuthbert34 | 13:45

  2. Re: Es klingt verlockend

    Nogul | 13:45

  3. Re: AfD auch politisch untauglich

    Mingfu | 13:45

  4. Re: Autos brauchen keinen extra Ton

    tingelchen | 13:44

  5. Re: API nicht benutzen!

    Bouncy | 13:44


  1. 13:49

  2. 12:32

  3. 12:00

  4. 11:29

  5. 11:07

  6. 10:52

  7. 10:38

  8. 09:23


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel