Ungeschützte API: Sicherheitslücke macht Studenten zu Wäsche-Millionären
Die Studenten Alexander Sherbrooke und Iakov Taranenko von der UC Santa Cruz haben eine Sicherheitslücke entdeckt, die es im Grunde jedem ermöglicht, an vernetzten Wäscheautomaten von CSC Serviceworks unbegrenzt und kostenlos Wäsche zu waschen. Nachdem das Unternehmen monatelang mehrere Aufforderungen zur Behebung der Schwachstelle ignorierte, gingen die Entdecker damit nun an die Öffentlichkeit.
CSC Serviceworks beschreibt sich selbst auf seiner Webseite(öffnet im neuen Fenster) als führender Anbieter von Wäschereilösungen in den Vereinigten Staaten, Kanada und Europa. Die Waschautomaten des Unternehmens kommen unter anderem in Hochschulen, Hotels und Wohnheimen zum Einsatz.
Gesteuert werden die Geräte über eine App namens CSC Go(öffnet im neuen Fenster) . Auch die Bezahlung erfolgt darüber.
Vom Studenten zum Wäsche-Millionär
Laut Techcrunch(öffnet im neuen Fenster) fanden die beiden Universitätsstudenten einen Weg, über die öffentlich dokumentierte API(öffnet im neuen Fenster) der App aus der Ferne Befehle an die Waschmaschinen von CSC Serviceworks zu senden. Damit sei es etwa möglich, ohne Guthaben einen Waschgang zu starten oder das Guthaben ohne tatsächliche Bezahlung auf mehrere Millionen US-Dollar aufzustocken, heißt es in dem Bericht.
Ferner lasse sich über die API "jede Waschmaschine im CSC-Serviceworks-Netzwerk aus der Ferne lokalisieren und mit ihr kommunizieren" , erklärten die Studenten. Das dafür erforderliche Nutzerkonto könne im Grunde jeder erstellen. Selbst eine Verifizierung der anzugebenden E-Mail-Adresse finde nicht statt.
Die Studenten entdeckten die Sicherheitslücke durch eine Analyse des Netzwerkverkehrs, der während der Verwendung der CSC-Go-App stattfindet. Sherbrooke und Taranenko stellten dabei fest, dass Sicherheitsprüfungen nur in der App durchgeführt werden, nicht jedoch auf dem Server. Die API vertraut folglich darauf, stets korrekte Daten von der App zu erhalten, so dass ein Angreifer gefälschte Informationen und Befehle einschleusen kann.
Sicherheitslücke wohl weiterhin offen
Die Studenten versuchten nach eigenen Angaben seit Januar mehrfach, CSC Serviceworks über ihre Entdeckung zu informieren, sowohl per Kontaktformular als auch telefonisch. Eine Antwort erhielten sie aber nie. Sogar das CERT Coordination Center der Carnegie Mellon University wurde eingebunden. Auch eine von Techcrunch an den Anbieter übermittelte Anfrage blieb bisher unbeantwortet.
Gänzlich ignoriert hat CSC Serviceworks die Studenten aber offenkundig nicht: Das Guthaben von mehreren Millionen US-Dollar, das Sherbrooke und Taranenko testweise auf ihrem Konto hinterlegten, wurde gelöscht.
Die Entdecker betonten jedoch, dass die Sicherheitslücke sei nach wie vor nicht geschlossen sei, so dass sich noch immer nach Belieben neues Guthaben hinterlegen und kostenlos Wäsche waschen lasse.