Hisilicon: Vielzahl kritischer Lücken in Geräten mit Huawei-Encodern
Der Sicherheitsforscher Alexei Kojenov hat eine Vielzahl teils kritischer Sicherheitslücken in Video-Encodern gefunden(öffnet im neuen Fenster) . Die Lücken finden sich dem Bericht zufolge alle in Video-Over-IP-Geräten, die auf dem HI3520D-Chipset der Huawei-Tochter Hisilicon basieren und Videodaten in H.264 oder H.265 kodieren, um diese als Netzwerkstreams bereitzustellen. Huawei dementiert, selbst für die Lücken verantwortlich zu sein(öffnet im neuen Fenster) , und verweist auf seine Kunden beziehungsweise Zulieferer.
Laut Kojenov, der die Geräte unter anderem per Reverese Engineering untersucht hat, verfügt ein Teil der Software über ein nicht dokumentiertes Standardpasswort zur Administration, was der Sicherheitsforscher als Backdoor bezeichnet (CVE-2020-24215). Per Telnet ist auf einigen der untersuchten Geräte mit diesem Passwort außerdem ein Root-Zugriff auf das Linux-System möglich (CVE-2020-24218).
In dem Bericht werden darüber hinaus weitere kritische Lücken aufgezählt, die beispielsweise nicht authentifizierte Dateiuploads ermöglichen, das Ausführen von Code oder auch ein nicht authentifiziertes Ableiten des Videostreams per RTSP. Zwar lassen sich die Angriffe mit diesen Lücken theoretisch vergleichsweise einfach durch eine Firewall oder ähnliche Netzwerkregeln verhindern, laut Kojenov habe er jedoch mehrere Hundert verwundbare Geräte im Internet gefunden.
Die Auswirkung der Lücken sollte dementsprechend klein ausfallen und sollten sich eigentlich auch vergleichsweise schnell schließen lassen. Auch sind Standardpasswörter leider keine Seltenheit bei IoT-Geräten. Huawei weist jedoch darauf hin, dass sich die beschriebenen Lücken so nicht in dem von dem Hersteller zu dem Chip angebotenen SDK finden. Diese müssten demnach vielmehr von Kunden beziehungsweise Zulieferern stammen, so Huawei.
Die komplizierte Lieferkette von Geräten des Internet-of-Things macht das Nachvollziehen der Herkunft der Lücken hier aber eher schwierig. Gleiches gilt natürlich für das Verteilen von Patches. So habe Kojenov auch Probleme gehabt, mit Hilfe des Cert die betroffenen Hersteller zu erreichen.