Sicherheitslücke: D-Link vergisst private Code-Signing-Schlüssel im Quellcode

Dem Hardwarehersteller D-Link ist ein peinlicher Fehler unterlaufen. Im Quellcode der Firmware für eine Überwachungskamera vergaßen die Entwickler private Code-Signing-Schlüssel. Der Hersteller hat bereits reagiert.

Artikel veröffentlicht am 18. September 2015, 11:25 Uhr, Hauke Gierow

Hinweis auf die Schlüssel im Quellcode (Bild: Screenshot Golem.de)

Der Hersteller D-Link hat im Quellcode einer Firmware-Version für seine Sicherheitskamera DCS-5020L private Code-Signing-Schlüssel vergessen. Diese könnten von Angreifern missbraucht werden. Mittlerweile gibt es eine neue Version der Firmware - ohne die privaten Schlüssel.

Der norwegische Sicherheitsforscher Bartvbl hatte den Firmware-Quellcode seiner neuen Sicherheitskamera untersucht und dabei vier Code-Signing-Schlüssel gefunden, von denen jedoch nur einer funktionierte. Mit diesen Schlüsseln gelang es ihm, ein Windows-Programm zu erstellen und es mit einem der Schlüssel zu signieren. Die Software sah nach der Prozedur nach einer legitimen Anwendung von D-Link aus - bösartige Angreifer könnten dies ausnutzen und Nutzern gefälschte Programme und Malware unterschieben.

Forscher der holländischen Sicherheitsfirma Fox-IT bestätigten den Fund auf dem niederländischen Tech-Protal Tweakers. Es handele sich tatsächlich um ein Code-Signing-Zertifikat in der Firmware-Version 1.00.b03. Die Software wurde am 27. Februar 2015 veröffentlicht.

Mittlerweile hat D-Link die Zertifikate zurückgezogen und eine neue Version der Firmware veröffentlicht. Die Entdeckung war möglich, weil D-Link seine Software seit vielen Jahren unter der GPL veröffentlicht.