Abo
  • IT-Karriere:

Vernetzte Geräte: Tausende Sicherheitslücken entdeckt

In mehr als 140.000 vernetzten Geräten haben Forscher teils schwerwiegende Sicherheitslücken entdeckt, darunter Zero-Day-Exploits, hartcodierte Passwörter und private Schlüssel.

Artikel veröffentlicht am ,
Forscher haben Sicherheitslücken in mehreren tausend Geräten gefunden, unter anderem auch in Überwachungskameras.
Forscher haben Sicherheitslücken in mehreren tausend Geräten gefunden, unter anderem auch in Überwachungskameras. (Bild: Maximilian Schönherr/CC BY-SA 3.0)

In mehr als 32.000 Firmware-Images, die in tausenden Geräten stecken, haben Forscher teils schwerwiegende Sicherheitslücken entdeckt. Sie reichen von Zero-Day-Lücken bis hin zu offenen Zugangsdaten und privaten Schlüsseln. Laut den vier Forschern von der französischen Universität Institut Eurécom sind mehr als 140.000 Router oder Überwachungskamerasysteme betroffen.

Stellenmarkt
  1. Deutsches Krebsforschungszentrum (DKFZ), Heidelberg
  2. S. Siedle & Söhne Telefon- und Telegrafenwerke OHG, Furtwangen im Schwarzwald

Andrei Costin, Jonas Zaddach, Aurélien Francillon und Davide Balzarotti haben für ihre Forschung ein automatisiertes Verfahren entwickelt, mit dem sie 32.356 Firmware-Images verschiedener Geräte untersucht haben. Sie nutzten dabei Werkzeuge wie Binwalk, FRAK und BAT. Damit ließen sich 20 Prozent mehr proprietäre Geräte untersuchen als bisherige vergleichbare Studien, so die Forscher. Außerdem empfehlen sie den Einsatz des Werkzeugs Bitshred samt Mapreduce auf Hadoop.

Die entpackten Images ergaben insgesamt mehr als 1,7 Millionen Dateien. Hatten die Forscher in einer Firmware eine Lücke entdeckt, überprüften sie mit ihrem Verfahren andere Dateien auf ähnliche Schwachstellen. Ihre Herangehensweise und Ergebnisse wollen die vier Forscher unter dem Namen "A Large-Scale Analysis of the Security of Embedded Firmwares" auf der Konferenz für IT-Sicherheit Usenix 2014 vorstellen.

Eine Ursache für viele Fehler

Viele der Schwachstellen hätten beispielsweise eine gemeinsame Quelle, etwa einen Fehler in der SDK oder in anderen Werkzeugen von Softwareherstellern, die ihre Produkte dann unter einem anderen Namen an weitere Hardwarehersteller lizenzierten, so die Forscher. So hätten sie den gleichen Fehler in völlig verschiedenen Überwachungskameras entdeckt, deren Firmware in leicht veränderter Form von einem einzigen Unternehmen erstellt wurde. Viele Hardwarehersteller wüssten gar nicht, woher die Firmware stammt. Angreifer hingegen könnten auf Grund eines einzigen gefundenen Fehlers mehrere Geräte angreifen.

Auch die Vielfalt der Schwachstellen hätte die Forscher überrascht, schreibt The Register. In etwa 101.000 Geräten hätten die Forscher SSH-Schlüssel und Zugangsdaten für Administratoren entdeckt. In weiteren 2.000 seien hartcodierte Telnet-Zugänge gewesen. In 681 unterschiedlichen Firmware-Dateien von 27 Herstellern haben die Forscher in den Verzeichnissen /etc/passwd und /etc/shadow eindeutige Passwort-Hashes entdeckt, von denen sie 58 Passwörter haben auslesen können. Bei einigen habe es gar kein Passwort gegeben, bei anderen habe es sich um einfache Passwörter wie "pass", "logout" oder "helpme" gehandelt.



Anzeige
Top-Angebote
  1. 116,13€
  2. 229,99€
  3. 44,53€ (Exklusiv!) @ ubi.com
  4. 25,00€ (Bestpreis!)

derdiedas 20. Aug 2014

Nein ist es nicht. Einzig richtig wäre, wenn der Schlüssel sich per Challenge-Response...

derdiedas 20. Aug 2014

Mann bekommt halt das was man bezahlt. Wer nur eine Döner mit 3,50Euro bezahlt kann kein...

raphaelo00 20. Aug 2014

Lehrer fragt Fritzchen: "Kannst du mir mal 5 Tiere nennen, die in Afrika leben...


Folgen Sie uns
       


Snapdragon 850 - ARM64 vs Win32

Wir vergleichen native ARM64-Anwendungen mit ihren emulierten x86-Win32-Pendants unter Windows 10 on ARM.

Snapdragon 850 - ARM64 vs Win32 Video aufrufen
Disintegration angespielt: Fast wie ein Master Chief mit Privatarmee
Disintegration angespielt
Fast wie ein Master Chief mit Privatarmee

Gamescom 2019 Ein dick gepanzerter Held auf dem Schwebegleiter plus bis zu vier Fußsoldaten, denen man Befehle erteilen kann: Das ist die Idee hinter Disintegration. Golem.de hat das Actionspiel ausprobiert.
Von Peter Steinlechner

  1. Omen HP erweitert das Command Center um Spiele-Coaching
  2. Games Spielentwickler bangen weiter um Millionenförderung
  3. Gamescom Opening Night Hubschrauber, Historie plus Tag und Nacht für Anno 1800

Zephyrus G GA502 im Test: Das Gaming-Notebook, das auch zum Arbeiten taugt
Zephyrus G GA502 im Test
Das Gaming-Notebook, das auch zum Arbeiten taugt

Mit AMDs Ryzen 7 und Nvidia-GPU ist das Zephyrus G GA502 ein klares Gaming-Gerät. Überraschenderweise eignet es sich aber auch als mobiles Office-Notebook. Das liegt an der beeindruckenden Akkulaufzeit.
Ein Test von Oliver Nickel

  1. Vivobook (X403) Asus packt 72-Wh-Akku in günstigen 14-Zöller
  2. ROG Swift PG35VQ Asus' 35-Zoll-Display nutzt 200 Hz, HDR und G-Sync
  3. ROG Gaming Phone II Asus plant neue Version seines Gaming-Smartphones

Hyundai Kona Elektro: Der Ausdauerläufer
Hyundai Kona Elektro
Der Ausdauerläufer

Der Hyundai Kona Elektro begeistert mit Energieeffizienz, Genauigkeit bei der Reichweitenberechnung und umfangreicher technischer Ausstattung. Nur in Sachen Emotionalität und Temperament könnte er etwas nachlegen.
Ein Praxistest von Dirk Kunde

  1. Elektroauto Neuer Chevrolet Bolt fährt 34 km weiter
  2. Elektroauto Porsches Elektroauto Taycan im 24-Stunden-Dauertest
  3. Be emobil Berliner Ladesäulen auf Verbrauchsabrechnung umgestellt

    •  /