Sicherheitslücke: Forscherin kann smarte Futterstationen von Xiaomi übernehmen

Mit der smarten Tierfutterstation Furrytail von Xiaomi lassen sich nicht nur die eigenen Haustiere füttern. Rund 11.000 Geräte konnte eine Sicherheitsforscherin weltweit einsehen - und fernsteuern.

Artikel veröffentlicht am ,
Darf's ein bisschen mehr sein?
Darf's ein bisschen mehr sein? (Bild: Xiaomi)

Mit der smarten Tierfutterstation Furrytail von Xiaomi können Haustiere zu bestimmten Zeiten automatisch gefüttert werden, beispielsweise wenn der Tierhalter nicht zu Hause ist. Die Geräte sind allerdings schlecht gesichert. Durch Zufall stellte die russische Sicherheitsforscherin Anna Prosvetova fest, dass sie auf über 10.000 Furrytail-Geräte zugreifen konnte. Neben den Futterrationen hätte die Sicherheitsforscherin auch die Firmware der Geräte ändern können, schreibt das Onlinemagazin Zdnet. Die Futterstation Furrytail stammt zwar von dem gleichnamigen Hersteller, wird jedoch unter der Marke Xiaomi verkauft. Zuerst wurde darüber in dem russischen Blog Habr berichtet.

Stellenmarkt
  1. Referat Organisationsmanagement, Abteilung Informations- und Kommunikationstechnik
    Stadtverwaltung Kaiserslautern, Kaiserslautern
  2. Fachgebietsleitung (m/w/d)
    operational services GmbH & Co. KG, Wolfsburg, Berlin, Zwickau, Dresden
Detailsuche

Die rund 80 US-Dollar teure Futterstation Furrytail eignet sich für Hunde und Katzen. Per App lassen sich Futtermenge und Uhrzeiten einrichten. Über die API der Geräte konnte Prosvetova 10.950 aktive Furrytails weltweit sehen. Sie hätte die Haustiere der App-Besitzer auf Knopfdruck füttern können oder die Futterrationen ändern können, erklärte die Sicherheitsforscherin. Ein Passwort hätte sie dafür nicht benötigt. Zudem wäre es möglich, eine modifizierte Firmware auf die Geräte aufzuspielen und so dauerhaft zu übernehmen. Diese können dann beispielsweise für DDoS-Angriffe missbraucht werden.

Die Sicherheitsforscherin wollte zunächst keine weiteren Details zu den Sicherheitslücken veröffentlichen, um dem Hersteller die Möglichkeit zu geben, sie zu schließen. Gemeldet habe sie die Lücken vor rund einer Woche. Laut einer von Prosvetova veröffentlichten E-Mail, hat Furrytail ein Update angekündigt. Einen Bug Bounty erhalte die Sicherheitsforscherin jedoch nicht, heißt es in der E-Mail. Bisher habe der Hersteller kein entsprechendes Programm eingerichtet.

Nachtrag vom 29. Oktober 2019, 14:30 Uhr

Im Artikel wurde ursprünglich Xiaomi als Hersteller des Furrytail genannt, die Futterstation wird zwar unter der Marke Xiaomi verkauft, hergestellt wird das Gerät jedoch von Furrytail. Auf Nachfrage von Golem.de erklärte Xiaomi: "Die smarte Tierfutterstation Furrytail gehört nicht zu Xiaomis Produktplatte, sondern stammt von einem Dritthersteller". Die Sicherheitsforscherin habe sich zudem nicht an Xiaomi, sondern an den Furrytail-Hersteller gewandt. Xiaomi betreibe bereits seit 2013 ein Bug-Bounty-Programm.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


interlingueX 29. Okt 2019

Fehlerprämie... aber nachdem Bug hier nix mit Schiffen zu tun...

interlingueX 29. Okt 2019

Ah so, ich dachte, bei Bonaverde kommen dann oben die rohen Hühnerfilets rein (oder was...

Geistesgegenwart 29. Okt 2019

Die Annahme dass das Telefonnetz in irgendeiner Weise sicherer sei als das Internet, ist...

Pierrick 28. Okt 2019

für den vollge... Vorgarten: Wenn Frauchen und Herrchen abwesend sind, die Ration auf das...



Aktuell auf der Startseite von Golem.de
WLAN und 6 GHz
Was bringt Wi-Fi 6E?

Der Standard Wi-Fi 6E erweitert WLAN das erste Mal seit Jahren um ein neues Frequenzband. Das hat viele Vorteile und ein paar Nachteile.
Von Oliver Nickel

WLAN und 6 GHz: Was bringt Wi-Fi 6E?
Artikel
  1. Apple: iPhones sollen Depressionen und Demenz erkennen
    Apple
    iPhones sollen Depressionen und Demenz erkennen

    Zusammen mit einer Universität und einem Pharmaunternehmen will Apple Algorithmen entwickeln, die Krankheiten anhand der iPhone-Nutzung erkennen.

  2. Eli Zero: Kleines E-Auto mit Türen und Fenstern kostet 12.000 Euro
    Eli Zero
    Kleines E-Auto mit Türen und Fenstern kostet 12.000 Euro

    Das minimalistische, vierrädrige Elektroauto Eli Zero soll für rund 12.000 Euro nach Europa kommen. Der Zweisitzer erinnert an den Smart.

  3. LG-Fernseher mit bis zu 1.000 Euro Cashback bei Saturn
     
    LG-Fernseher mit bis zu 1.000 Euro Cashback bei Saturn

    Saturn bietet zurzeit Fernseher von LG mit Cashback an. Wer von den hohen Rabatten profitieren will, hat noch bis Ende des Monats Zeit.
    Ausgewählte Angebote des E-Commerce-Teams

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Asus 23,8" FHD 144Hz 166,90€ • PCGH-PC mit Ryzen 5 & RTX 3060 999€ • Corsair MP600 Pro 1TB mit Heatspreader PS5-kompatibel 162,90€ • Alternate (u. a. Asus WLAN-Adapter PCIe 24,90€) • MM-Prospekt (u. a. Asus TUF 17" i5 RTX 3050 1.099€) • Samsung 970 Evo Plus 1TB 99€ [Werbung]
    •  /