Abo
  • Services:
Anzeige
Wasserwerke sollten aus dem Internet nicht erreichbar sein.
Wasserwerke sollten aus dem Internet nicht erreichbar sein. (Bild: Golem.de)

Weitere Sicherheitslücken in der Steuerungssoftware

Im Rahmen unserer Untersuchung entdeckten wir einige Unregelmäßigkeiten, die sich später als Sicherheitslücken innerhalb der Software herausstellten. Diese sind dem Hersteller der Software mittlerweile seit circa drei Monaten bekannt. Der Hersteller hat sich, trotz mehrfacher Anfrage, nicht zu den Lücken geäußert, lediglich erneut erwähnt, dass er handeln werde, sofern sich die Notwendigkeit ergebe. Worin der Anstoß zum Handeln noch bestehen könnte, ist unklar, denn die Sicherheitslücken sind durchaus schwerwiegend.

Anzeige

Eine der gefundenen Lücken ist Cross-Site-Scripting (XSS). Es ist also möglich, die Darstellung der Industriesteuerung innerhalb eines Webbrowsers beliebig zu modifizieren, indem durch Dritte und ohne Authentifizierung Scripts in die Webapplikation eingebunden werden. Dieses Angriffsszenario betrifft nicht nur über das Internet erreichbare, sondern auch im lokalen Netzwerk betriebene Systeme.

Ein Effekt wie bei Stuxnet

Mit diesem Angriffsvektor ließe sich ein ähnlicher Effekt erzielen wie mit dem auf Industrieanlagen spezialisierten Computerwurm Stuxnet: Die Human-Machine-Interfaces zeigen andere Werte an, als sie tatsächlich vorliegen - eine sogenannte Manipulation of View. Dadurch würden Fachkräfte, die diese Anlagen bedienen, möglicherweise falsche Konfigurationen vornehmen und könnten damit den physischen Anlagen, etwa Pumpen, erheblichen Schaden zufügen.

Wir fanden eine weitere Sicherheitslücke innerhalb der Software, eine sogenannte HTTP Header Injection. Mittels dieser Sicherheitslücke kann man Webapplikationen etwa dazu veranlassen, einen Download zu starten. Das Vorgehen wäre also dazu geeignet, gezielte Phishing-Angriffe gegen Mitarbeiter vorzunehmen, um letztlich sogar die gleichen Rechte wie der Operator der Anlage zu erhalten und die betroffene Anlage zu steuern.

Weiteres Problem: Lizenzmodell

Auch lizenzrechtliche Probleme können Angreifer verursachen. Das Lizenzmodell des Herstellers nutzt aktuell verbundene Messgeräte zur Bestimmung der Lizenzkosten basierend auf den Messwerten der derzeit abgerufenen Sensoren. Ist der Zugriff von außen möglich, so lassen sich die benötigten Lizenzen bis zu dem maximalen Lizenzwert des jeweiligen Lizenzpakets steigern, da sich diese nach geöffneten Browser-Fenstern und abgerufenen Datensätzen berechnen. Das Lizenzmodell beginnt mit der Stufe "micro", die dann maximal 50 geöffnete Datenpunkte beinhaltet. Damit ließen sich entweder ein Webbrowser mit 50 geöffneten Datenpunkten oder zwei Webbrowser mit jeweils 25 geöffneten Datenpunkten öffnen.

Wenn ein Angreifer einem Unternehmen schaden möchte, dessen Software im öffentlichen Internet abrufbar ist und das dazu ein kleines Lizenzpaket gewählt hat, könnte er einen Webbrowser aufrufen und die freien Datenpunkte bis zum Maximum allokieren. Die Lizenzen sind begrenzt und weiten sich nicht mit aus. Im schlimmsten Fall ließen sich also intern keine Datensätze mehr aufrufen, weil die notwendigen Lizenzen durch externe Abrufe blockiert würden.

Das Ausschöpfen des Lizenzpools würde nach Aussage des Herstellers allerdings nicht bedeuten, dass für den internen Betrieb keine ausreichenden Lizenzen mehr zur Verfügung stünden - da es "ab einer gewissen Lizenzgröße immer einen fixen, unlimitierten Arbeitsplatz" gebe. Diese genannte Verfügbarkeit der freien Lizenzen gilt, wie wir anhand von Broschüren des Produktes herausgefunden haben, allerdings nur für größere Lizenzmodelle (mehr als 150 Datenpunkte), nicht für die Lizenzmodelle "micro" (50 Datenpunkte) und "small" (150 Datenpunkte). Bei diesen Lizenzmodellen wäre ein Aufbrauchen oder Blockieren der Lizenzen durch externe Angreifer nach unserer Kenntnis also durchaus schädlich.

 Schwierige Kontaktaufnahme mit den BetreibernWer Sicherheitslücken findet, hat Probleme 

eye home zur Startseite
Bachsau 04. Okt 2016

Ich finde das Vorgehen grundfalsch, die Betroffenen nur kurz darauf hinzuweisen. Klar...

Atalanttore 12. Aug 2016

Die Namen der unwilligen Hersteller fehlerhafter Steuerungssoftware im Internet nennen...

Clokwork79 18. Jul 2016

...dann sind die Probleme gelöst *wegduck*

User_x 18. Jul 2016

Welche Gefahren gehen von euren Anlagen aus, falls diese Kompromittiert würden?

joypad 17. Jul 2016

kwt



Anzeige

Stellenmarkt
  1. Präsidium Technik, Logistik, Service der Polizei, Stuttgart
  2. Sonntag & Partner Partnerschaftsgesellschaft mbB, Augsburg
  3. SARSTEDT AG & Co., Nümbrecht-Rommelsdorf
  4. BG-Phoenics GmbH, München


Anzeige
Top-Angebote
  1. (u. a. Makita Bohrhammer HR2470 94,90€, Makita Akku-Bohrschrauber uvm.)
  2. (u. a. HP 15,6 Zoll 299,00€, Lenovo Ideapad 15,6 Zoll 499,00€, Acer 17,3 Zoll 499,00€)
  3. 44,90€ statt 79,90€

Folgen Sie uns
       


  1. Hasskommentare

    Bundesrat fordert zahlreiche Änderungen an Maas-Gesetz

  2. GVFS

    Windows-Team nutzt fast vollständig Git

  3. Netzneutralität

    Verbraucherschützer wollen Verbot von Stream On der Telekom

  4. Wahlprogramm

    SPD fordert Anzeigepflicht für "relevante Inhalte" im Netz

  5. Funkfrequenzen

    Bundesnetzagentur und Alibaba wollen Produkte sperren

  6. Elektromobilität

    Qualcomm lädt E-Autos während der Fahrt auf

  7. Microsoft

    Mixer soll schneller streamen als Youtube Gaming und Twitch

  8. Linux

    Kritische Sicherheitslücke in Samba gefunden

  9. Auftragsfertiger

    Samsung erweitert Roadmap bis 4 nm plus EUV

  10. Fake News

    Ägypten blockiert 21 Internetmedien



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Redmond Campus Building 87: Microsofts Area 51 für Hardware
Redmond Campus Building 87
Microsofts Area 51 für Hardware
  1. Windows on ARM Microsoft erklärt den kommenden x86-Emulator im Detail
  2. Azure Microsoft betreut MySQL und PostgreSQL in der Cloud
  3. Microsoft Azure bekommt eine beeindruckend beängstigende Video-API

3D-Druck bei der Bahn: Mal eben einen Kleiderhaken für 80 Euro drucken
3D-Druck bei der Bahn
Mal eben einen Kleiderhaken für 80 Euro drucken
  1. Bahnchef Richard Lutz Künftig "kein Ticket mehr für die Bahn" notwendig
  2. Flatrate Öffentliches Fahrradleihen kostet 50 Euro im Jahr
  3. Nextbike Berlins neues Fahrradverleihsystem startet

Google I/O: Google verzückt die Entwickler
Google I/O
Google verzückt die Entwickler
  1. Neue Version im Hands On Android TV bekommt eine vernünftige Kanalübersicht
  2. Play Store Google nimmt sich Apps mit schlechten Bewertungen vor
  3. Daydream Standalone-Headsets auf Preisniveau von Vive und Oculus Rift

  1. Re: Die hohen Anschaffungskosten eines E-Autos...

    Stefan99 | 15:17

  2. Re: So ein Unsinn ...

    Sharra | 15:17

  3. Re: Zwei Fragen fallen mir dazu ein

    twothe | 15:16

  4. Re: Unix, das Betriebssystem von Entwicklern, für...

    __destruct() | 15:15

  5. Re: "Es gebe dazu keine weitere Kommunikation...

    DAUVersteher | 15:15


  1. 15:15

  2. 13:35

  3. 13:17

  4. 13:05

  5. 12:30

  6. 12:01

  7. 12:00

  8. 11:58


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel