Nexx: Lücke ermöglicht Öffnen von Garagen auf der ganzen Welt
Sicherheitsforscher habe etliche Sicherheitslücken in den Geräten der Marke Nexx gefunden, mit denen sich Garagentore öffnen und schließen sowie Steckdosenadapter und Alarmanlagen einschalten und deaktivieren lassen. Durch die Sicherheitslücken können auch Angreifer die Garagentore öffnen oder die Alarmanlagen deaktivieren. Die Geräte werden weltweit eingesetzt, Patches sind nicht verfügbar.
Nexx wirbt mit(öffnet im neuen Fenster) "einfach zu bedienenden Produkten, die mit Dingen funktionieren, die Sie bereits besitzen" . Die Nexx-Geräte lassen sich via Wi-Fi an das Internet anschließen und per Nexx-App über eine Cloud steuern. Dabei legt Nexx laut eigenen Angaben "Wert auf Privatsphäre" und verwendet "aktuellste Sicherheitsstandards für IoT-Geräte" . Dass es damit nicht weit her ist, entdeckte der Sicherheitsforscher Sam Sabetan.
Trotz der Werbeversprechen und eines selbst ausgelobten "fantastischen Kundensupports" reagierte Nexx über Monate nicht auf die gemeldeten Sicherheitsprobleme. Auch auf Hinweise durch das Onlinemagazin Motherboard(öffnet im neuen Fenster) reagierte das Unternehmen nicht. Nun hat der Sicherheitsforscher Informationen zu den Lücken veröffentlicht(öffnet im neuen Fenster) . Auch die US-Behörde Cisa warnt vor den Lücken(öffnet im neuen Fenster) .
Universelle Zugangsdaten in der Firmware
Ein Sicherheitsproblem sind universelle Zugangsdaten - hardcodiert in der Firmware (CVE-2023-1748). Mit den Zugangsdaten könne sowohl die Privatsphäre der Nutzer als auch die Sicherheit der Nexx-Infrastruktur untergraben werden, erklärte der Sicherheitsforscher. So habe er unter anderem die E-Mail-Adressen, Geräte-IDs und Vornamen von anderen Nexx-Nutzern auslesen können.
Zudem könnten Befehle wie das Öffnen einer beliebigen Garage oder dem Deaktivieren einer Alarmanlage gesendet werden. Das gelte auch für smarte Steckdosen, die auf diese Weise ein- oder ausgeschaltet werden könnten, um etwa die Christbaumbeleuchtung oder die Überwachungskamera zu deaktivieren, erklärte Sabetan.
Von den Sicherheitslücken seien mindestens 40.000 Nexx-Geräte beziehungsweise 20.000 Nutzer betroffen, schreibt der Sicherheitsforscher. Mit weiteren Sicherheitslücken ist es beispielsweise Dritten möglich, ein bereits registriertes Nexx-Gerät mit der eigenen Mac-Adresse zu registrieren und damit zu übernehmen oder Geräteinformationen abzurufen.