Patscherkofel: Gondelbahn mit Sicherheitslücken

Die Steuerungsanlage der neuen Gondelbahn am Innsbrucker Patscherkofel ist ohne Sicherheitsmaßnahmen im Netz zu finden gewesen. Ein Angreifer hätte die Bahn aus der Ferne übernehmen können - trotzdem beschwichtigt der Hersteller.

Artikel von Hauke Gierow veröffentlicht am 19. April 2018, 12:06 Uhr

Die Patscherkofelbahn bei Innsbruck (Bild: Simon Legner/CC-BY-SA 4.0)

Über der Stadt Innsbruck können Besucher für ein besonderes Naturerlebnis den Zirbenweg begehen und sich im Kofer-Restaurant stärken. Der beschwerliche Anstieg wird durch die Patscherkofel-Gondelbahn erleichtert. Leider machte es die Bahn Angreifern relativ leicht, die Steuerungsanlagen dafür über das Internet ausfindig zu machen. Das haben die beiden White-Hat-Hacker Sebastian Neef und Tim Philipp Schäfers im März dieses Jahres im Rahmen des Projekts Internetwache.org entdeckt. Der Betreiber erkennt die Ergebnisse der Untersuchung an, versucht aber, zu beschwichtigen.

Die Bahn wurde im Jahr 2017 eröffnet, bei der Gondelfahrt zum Gipfel können Fahrgäste sogar einen WLAN-Access-Point in der Kabine benutzen - alles sieht modern aus. Pro Stunde können rund 2.000 Besucher zum Gipfel transportiert werden. Derzeit fährt die Bahn allerdings nicht, die Anlage wird für die Sommersaison vorbereitet. Auf Anfrage des österreichischen Emergency Response Teams (Cert) muss vor der Wiederinbetriebnahme der Fernwartungsschnittstellen auch ein neues Sicherheitskonzept erarbeitet werden.

• 

Die Bedienungselemente von Doppelmayr Connect (Screenshot: Internetwache.org/Doppelmayr)

"Bei einem unserer Scans des Internets nach verwundbaren Anlagen ist mir die Patscherkofel-Bahn aufgefallen", sagt Tim Philipp Schäfers Golem.de. "Aufgrund des Seitentitels der Steuerungsanlage konnte ich das angreifbare System der Innsbrucker Gondelanlage zuordnen, außerdem zeigte ein Geo-IP-Dienst, dass die Anlage in der Nähe von Innsbruck liegen muss." Zum Zeitpunkt des Scans war die Bahn nach Angaben von Schäfers im Betrieb.

Auch Screenshots auf den Webseiten des Gondelbauers Doppelmayr zeigten, dass es sich um dieselbe Anlage handelt. Die Erkenntnisse ihrer Forschung teilten die White-Hat-Hacker direkt nach dem Fund der Lücke am 16. März dem zuständigen Cert mit. Die Probleme waren gravierend: Die Anlage selbst sollte für Webnutzer nicht frei im Netz auffindbar sein. Doch das war nicht das einzige Problem.

Jegliche Kommandos wurden nach Angaben von Schäfers und Neef unverschlüsselt gesendet, also ohne den Einsatz von TLS. Eine Authentifizierung ist in dem System nicht vorgesehen, außerdem ist die Webapplikation für Cross-Site-Scripting (XSS) anfällig. Die entsprechenden Schwachstellen meldeten Neef und Schäfers nach eigenen Angaben bereits im Jahr 2016 an den Systemintegrator Certec, der die Komponenten entwickelt hat. Grundlegende Sicherheitsvorkehrungen, wie sie etwa in den OWASP Top 10 beschrieben werden, wurden zum Zeitpunkt der Untersuchung also ganz offensichtlich nicht eingehalten.

Veraltete Steuersoftware mit Lücken

Die Betreiber der Seilbahnen, die Innsbrucker Kommunalbetriebe (IKB), verwenden demnach eine veraltete Version der Steuersoftware. Diese war bereits im Züricher Prime Tower verwendet worden und rief dort verschiedene Probleme mit der Hauselektronik hervor. Beim Prime Tower wurde die Software im Rahmen der Verwaltung für die Parkplätze eingesetzt. Neben der Anfälligkeit für Cross-Site-Scripting (XSS) war die getestete Software auch für eine HTTP Header Injection anfällig. Für die beiden Sicherheitslücken wurden die Bezeichnungen CVE-2017-6031 und CVE-2017-6029 vergeben.

Im Prospekt von Doppelmayr klingt das noch anders. Dort heißt es: "Fernwartungssystem mit IT-Sicherheit gegen ungewollte Zugriffe von außen". Außerdem beschreibt das Unternehmen sein Fernsteuerungssystem Doppelmayr Connect als besonders "übersichtlich" und "individualisierbar". Auch gebe es ein Notification-Center für Fehlermeldungen und einen "21,5-Zoll-Touch-Screen mit Full-HD-Auflösung, hochwertig verarbeitet aus Glas und gebürstetem Aluminium."

Eine schematische Darstellung des Datenflusses in einem Werbevideo deutet an, dass Informationen nur gesichert übertragen würden - was offenbar nicht durchgängig der Fall ist. Für die Kontrolle der Seilbahnen stehen neben den normalen Systemen auch mobile Lösungen etwa für Tablets bereit; im Play Store findet sich von Doppelmayr allerdings nur eine App mit einem Fan-Magazin, die App muss also direkt vom Hersteller bezogen werden.