Abo
  • Services:
Anzeige
Wegen unzureichend abgesicherter Firmware gelang es Datenexperten, Doom auf einem Canon-Drucker zu installieren.
Wegen unzureichend abgesicherter Firmware gelang es Datenexperten, Doom auf einem Canon-Drucker zu installieren. (Bild: Context Information Security)

IT-Sicherheit: Doom auf gehackten Druckern installiert

Weil ein Firmware-Update auf einigen Druckern von Canon fast ohne Absicherung installiert werden kann, haben IT-Sicherheitsexperten dort als Machbarkeitsnachweis das Ballerspiel Doom installiert.

Anzeige

Dass die Konfigurationsoberfläche zahlreicher Drucker auch über das Internet erreichbar ist, ist längst bekannt. Viele sind aber offenbar nicht durch Passwörter abgesichert, sofern der Hersteller dies überhaupt ermöglicht. Das britische IT-Sicherheitsunternehmen Context Information Security hat aber zudem entdeckt, dass einige Drucker über eine nur unzureichend abgesicherte Firmware verfügen. Auf einem Pixma MG6450 von Canon haben sie deshalb das Spiel Doom installiert.

Ein Fehler in der webbasierten Benutzeroberfläche macht den Drucker offen für Angriffe über Cross-Site Request Forgeries. Damit lassen sich auch Drucker angreifen, die eigentlich nur im Intranet oder einem NAT-Netzwerk erreichbar sind, etwa über speziell präparierte Webseiten, die ein Mitarbeiter im gleichen Netzwerk öffnet. Wenn sich die Konfigurationsoberfläche des besagten Druckers nicht durch eine Sperre absichern lässt, kann sich ein Angreifer über eine weitere Webseite problemlos Zugang zum Drucker verschaffen und beispielsweise so lange drucken, bis die Patronen leer sind.

Kaum verschlüsselte Firmware

Noch gravierender sei jedoch, dass die Firmware nicht signiert und nur durch XOR verschlüsselt sei. Innerhalb von 10 Minuten sei die Firmware entschlüsselt worden, so die Forscher. Sie sei zudem deshalb leicht zu modifizieren und wieder so zu verschlüsseln gewesen, dass sie als ordentliches Update vom Drucker akzeptiert wurde. Anschließend konnte auf dem Display des Druckers Doom gespielt werden. Die Farben seien aber nicht perfekt, so die Datenexperten.

Canon hat indes auf die Anfrage der Experten im Juni 2014 reagiert und versprach, die fehlende Funktion durch Updates nachzureichen. Die Updates werden für alle Geräte zur Verfügung gestellt, die nach Mitte 2013 auf den Markt gekommen sind.

Viele verwundbare Drucker im Internet

Die Datenexperten haben ihren Machbarkeitsnachweis am vergangenen Freitag, dem 12. September 2014, auf der IT-Sicherheitskonferenz 44Con in London vorgestellt. Kurz zuvor hatten sie die Shodan-Datenbank bemüht, die verwundbare Geräte sammelt, die über das Internet erreichbar sind. Dort seien etwa 32.000 IP-Adressen vermerkt, die auf möglicherweise verwundbare Drucker hinweisen. Davon hätten sie 9.000 untersucht. Die Datenexperten hätten 1.822 Drucker gefunden, die tatsächlich über das Internet erreichbar waren, und davon hätten 122 eine angreifbare Firmware. Hochgerechnet seien deshalb etwa 2.000 verwundbare Drucker im Internet erreichbar, so die IT-Sicherheitsforscher.


eye home zur Startseite
Kakiss 16. Sep 2014

Das am Ende jeder gelacht hat spricht eher für den Scherz ;) Das Leben zeigt oft genug...

wynillo 16. Sep 2014

Ne einer der Doom spielen konnte

Oldschooler 16. Sep 2014

Klar, es ist bestimmt absolut sinnvoll wenn jeder Mitarbeiter eines Unternehmens erst...

derdiedas 16. Sep 2014

Echt - die Komponente hat es aber in abermillionen Implementierungen geschafft. Viele...

sidmos6581 15. Sep 2014

Genau und wenn Du es nicht schafft den Doom-Oberlord mit der Motorsäge zu killen, dann...



Anzeige

Stellenmarkt
  1. dSPACE GmbH, Paderborn
  2. Fraunhofer-Institut für Integrierte Schaltungen IIS, Erlangen
  3. GEMA International AG, Hamburg, Berlin
  4. ID.on GmbH, Hannover


Anzeige
Blu-ray-Angebote
  1. Einzelne Folge für 2,99€ oder ganze Staffel für 19,99€ kaufen (Amazon Video)
  2. 299,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Core i9-7980XE im Test

    Intel braucht 18 Kerne, um AMD zu schlagen

  2. Bundestagswahl 2017

    Ein Hoffnungsschimmer für die Netzpolitik

  3. iZugar

    220-Grad Fisheye-Objektiv für Micro Four Thirds vorgestellt

  4. PowerVR

    Chinesen kaufen Imagination Technologies

  5. Zukunftsreifen

    Michelin will schwammartiges Rad für fahrerlose Autos bauen

  6. Bundestagswahl 2017

    Union und SPD verlieren, Jamaika-Koalition rückt näher

  7. IFR

    Zahl der verkauften Haushaltsroboter steigt stark an

  8. FTTH

    CDU für Verkauf der Telekom-Aktien

  9. Konkurrenz

    Unitymedia gegen Bürgerprämie für Glasfaser

  10. Arduino MKR GSM und WAN

    Mikrocontroller-Boards überbrücken weite Funkstrecken



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken
Bundestagswahl 2017
Viagra, Datenbankpasswörter und uralte Sicherheitslücken
  1. Zitis Wer Sicherheitslücken findet, darf sie behalten
  2. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"
  3. TV-Duell Merkel-Schulz Die Digitalisierung schafft es nur ins Schlusswort

Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

VR: Was HTC, Microsoft und Oculus mit Autos zu tun haben
VR
Was HTC, Microsoft und Oculus mit Autos zu tun haben
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

  1. Re: Intel im Winterschlaf

    ffrhh | 09:53

  2. Re: Die Benches zeigen eher dass Intel immer noch...

    Pixel5 | 09:51

  3. Re: Jamaika wird nicht halten

    Markus08 | 09:49

  4. Re: Ich feier das Ergebnis der AfD!

    Dwalinn | 09:46

  5. Re: Und bei DSL?

    Matty194 | 09:44


  1. 09:01

  2. 07:52

  3. 07:33

  4. 07:25

  5. 07:17

  6. 19:04

  7. 15:18

  8. 13:34


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel