Sicherheitslücke: Steuerung von Bau-Kran lässt sich übernehmen

Eine Sicherheitslücke in der kabellosen Kransteuerung Telecrane F25 ermöglicht es, Signale mitzuschneiden und mit diesen anschließend den Kran fernzusteuern. Ein Sicherheitsupdate steht bereit.

Artikel veröffentlicht am ,
Ob sich dieser Kran auch einfach übernehmen lässt?
Ob sich dieser Kran auch einfach übernehmen lässt? (Bild: minka2507/CC0 1.0)

Bauarbeiter bedienen einen Kran meist vom Boden aus mit einem kabellosen Steuerungsgerät. Wenn es sich dabei um ein Gerät aus der Serie Telecrane F25 handelt, kann die Steuerung des Kranes von außen übernommen werden. Nach einem Bericht von The Register rät die staatliche Sicherheitsbehörde US-CERT Baufirmen, die die Geräte einsetzen, dringend Updates einzuspielen. Entdeckt wurde die Sicherheitslücke durch die Sicherheitsforscher Jonathan Andersson, Philippe Lin, Akira Urano, Marco Balduzzi, Federico Maggi, Stephen Hilt und Rainer Vosseler. Der Sicherheitslücke wurde die CVE-2018-17935 zugewiesen.

Stellenmarkt
  1. (Senior) Android Software Engineer*
    IAV GmbH, Berlin, Gifhorn
  2. Technikkoordinator/in Datenaustausch (w/m/d)
    Statistisches Bundesamt, Wiesbaden
Detailsuche

Um die Sicherheitslücke auszunutzen, müssen Angreifer den Funkverkehr zwischen dem Steuerungsgerät und dem Kran mitschneiden. Der Kran nutzt immer die gleichen Signale zur Steuerung. Werden die mitgeschnittenen Steuerungscodes an den Kran geschickt, kann dieser von den Angreifern ferngesteuert werden. Angriffe, bei denen Daten mitgeschnitten und wieder gesendet werden, werden auch Capture-Replay-Attacke genannt. US-Cert stuft die Lücke daher als mit wenig Hintergrundwissen leicht ausnutzbar ein.

Dem Kran kann beispielsweise durch einen Angreifer kontinuierlich ein Stop-Signal gesendet werden, was den Kran für die Bauarbeiter unbenutzbar machen kann. Gefährlicher wird es, wenn der Kran größere Gewichte anhebt und von Angreifern ferngesteuert wird.

Die taiwanische Herstellerfirma Telecrane rät zu einem Update der Firmware auf Version 00.0A, mit der die Sicherheitslücke behoben wurde. Nun ist es an den Baufirmen das Sicherheitsupdate auch einzuspielen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


MikeU 30. Okt 2018

Ich finde, die Versionsnummer ist echt Vertrauen erweckend...

__destruct() 30. Okt 2018

Im Artikel wird das Außerbetriebnehmen so hervorgehoben. Immer im Kreis ist doch viel...

Aluz 30. Okt 2018

Also, wenn es immer die selben Signale sind, dann klingt das ja fast so als ob der...

drunkenmaster 30. Okt 2018

Wieso können nicht einfach alle SemVer (https://semver.org/) nutzen? Würden alle sofort...



Aktuell auf der Startseite von Golem.de
Resident Evil (1996)
Grauenhaft gut

Resident Evil zeigte vor 25 Jahren, wie Horror im Videospiel auszusehen hat. Wir schauen uns den Klassiker im Golem retro_ an.

Resident Evil (1996): Grauenhaft gut
Artikel
  1. Streaming: Chromecast erhält spezielle Youtube-Fernbedienung
    Streaming
    Chromecast erhält spezielle Youtube-Fernbedienung

    Die Steuerung von Youtube auf einem Chromecast soll mit einer neuen Funktion deutlich komfortabler werden.

  2. Studie: Kinder erhalten Smartphone meist zwischen 6 und 11 Jahren
    Studie
    Kinder erhalten Smartphone meist zwischen 6 und 11 Jahren

    Nur eine sehr geringe Minderheit der Eltern will ihrem Kind erst mit 15 Jahren ein Smartphone zur Verfügung stellen.

  3. Google: Kopfhörer verlieren Google-Assistant-Support auf iPhones
    Google
    Kopfhörer verlieren Google-Assistant-Support auf iPhones

    Wer Google Assistant am Kopfhörer benutzen will, ist künftig auf ein Android-Gerät angewiesen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Saturn-Advent: Samsung Portable SSD T5 1 TB 84€ • ViewSonic VX2718-2KPC-MHD (WQHD, 165 Hz) 229€ • EPOS Sennheiser GSP 670 199€ • EK Water Blocks Elite Aurum 360 D-RGB All in One 205,89€ • KFA2 Geforce RTX 3070 OC 8 GB 1.019€ • Alternate (u. a. AKRacing Core SX 269,98€) [Werbung]
    •  /