Original-URL des Artikels: https://www.golem.de/news/sicherheitsluecke-go-scooter-stop-scooter-1902-139365.html    Veröffentlicht: 13.02.2019 13:13    Kurz-URL: https://glm.io/139365

Xiaomi-Hack

Go Scooter, stop Scooter

Xiaomis Scooter mit Elektroantrieb haben eine drastische Sicherheitslücke: Die Scooter können per Bluetooth ferngesteuert werden.

Schnell noch um die Ecke zum Bäcker scooten. Mit dem elektrischen Tret-Roller muss man dafür nicht mal groß treten. Allerdings lässt sich die Steuerung des Scooters M365 von Xiaomi komplett übernehmen. Hacker können den Scooter einfach abrupt abremsen lassen. Das könne im Straßenverkehr tödliche Folgen haben, sagt die Sicherheitsfima Zimperium, die die Lücke entdeckt hat.

Der Scooter kann über Bluetooth mit einer App gesteuert werden. Mit ihr kann beispielsweise der Diebstahlschutz aktiviert und deaktiviert werden, die Geschwindigkeit geregelt oder die Firmware des Scooters aktualisiert werden. Die App verwendet zwar einen Passwortschutz, das Passwort gilt allerdings nur für die App und nicht für den Scooter. Der führt die per Bluetooth gesendeten Befehle auch ohne Passwort aus. Die Sicherheitsforscher können die Bluetooth-Steuerung der Roller übernehmen.

<#youtube id="ASygXa8UVYk">

Bei den Angriffszenarien ist laut den Sicherheitsforschern ein Denial-of-Service denkbar, der den Scooter unbenutzbar macht. Zudem sei es möglich, Schadsoftware auf den Scooter zu spielen und so die volle Kontrolle über das Gerät zu erhalten. Einzelnen Scootern können Kommandos geschickt werden, mit denen sie beispielsweise abrupt gesperrt werden können.

Scooter per App fernsteuern

Zimperium hat eine App Proof-of-Concept erstellt, mit der der Diebstahlschutz jedes beliebigen Xiaomi M365 Scooters im Umkreis von hundert Metern deaktiviert werden kann. Die App möchte das Unternehmen aus Sicherheitsgründen nicht veröffentlichen.

Xiaomi wurde über die Sicherheitslücke informiert, die Reaktion hat Zimperium in einem Blogeintrag veröffentlicht. Die Lücke sei Xiaomi intern bereits bekannt und veröffentlicht worden. Da es sich bei dem Produkt um eine Kooperation mit einem Dritthersteller handele, müsse man sich mit diesem abstimmen.

Eine ähnliche Sicherheitslücke konnte Zimperium bereits 2017 in einem Hoverboard von Segway identifizieren. Segway wurde 2015 von der Firma Ninebot übernommen, an der Xiaomi mehrheitlich beteiligt ist. Neben Scootern und Segways hat Xiaomi auch Mini-Fahrräder mit Elektro-Antrieb im Angebot.  (mtr)


Verwandte Artikel:
Smart Home: Wenn die Lampe zum Trojaner wird   
(27.01.2019, https://glm.io/138712 )
Elektromagnetische Felder: Samsung-Smartphones haben sehr niedrige SAR-Werte   
(12.02.2019, https://glm.io/139343 )
Transport: Üo, der fahrbare Ball   
(18.04.2017, https://glm.io/127342 )
Drift W1: Segway stellt selbstbalancierende E-Rollschuhe vor   
(02.07.2018, https://glm.io/135249 )
Windows Patch Day: Microsoft behebt etwa 70 Sicherheitslücken in Windows 10   
(13.02.2019, https://glm.io/139364 )

© 1997–2019 Golem.de, https://www.golem.de/