Schwere Sicherheitslücke in Geräten von 65 Herstellern entdeckt

Das Internet der Dinge (IoT) zeigt einmal mehr, warum es gefährlich ist, wenn Hersteller von Produkten Komponenten einsetzen, die nicht ausreichend auf Security-Schwachstellen geprüft sind. Das Team von IoT Inspector hat in einem Realtek-WLAN-Modul ein Dutzend Sicherheitslücken gefunden.

Diese Realtek-Komponente ist in Geräten von insgesamt 65 namhaften Herstellern verbaut, darunter Hardware-Firmen wie AsusTek, Belkin, D-Link, Edimax, Logitech, Netgear sowie Hama. Betroffen sind rund 200 unterschiedliche Gerätetypen, darunter WLAN-Router, IP-Kameras oder smarte Beleuchtungsssteuerungssysteme.

Das Problem: Das Team von IoT Inspector hat die Sicherheitsschwachstelle bereits an RealTek gemeldet, die ein Update bereitstellen. Doch dieses muss von allen Herstellern einzeln eingespielt werden, um die betroffenen Geräte wieder sicher zu machen. „Jeder der betroffenen Hersteller muss die gepatchten RealTek SDKs in individuelle Updates für seine Geräte einarbeiten und diese Updates an all seine Kunden verteilen, damit diese wiederum die betroffenen Geräte aktualisieren können“, erklärt Florian Lukavsky, CEO von IoT Inspector, auf Anfrage der futurezone.

Was passieren kann, wenn man Pech hat

Wird kein Update eingespielt, könnte das schlimme Konsequenzen nach sich ziehen: Cyberkriminelle erhalten in bestimmten Fällen einen Vollzugriff auf das Gerät, installierte Betriebssysteme und weitere Netzwerkgeräte, wenn keine Gegenmaßnahmen getroffen werden.  Um diese Lücken auch ausnutzen zu können, müssen sich Angreifer aber für gewöhnlich im selben WLAN-Netzwerk befinden.

„Zum Ausnutzen der Schwachstellen ist Netzwerkzugriff auf die betroffenen Services notwendig. In der Regel sollte dies nur aus dem lokalen Netzwerk möglich sein. Uns sind jedoch eine Vielzahl an Geräten aufgefallen, insbesondere in Indien, China und Taiwan, die verwundbare Services über das Internet verfügbar machen. In diesen Fällen sind die Schwachstellen durch Cyberkriminelle aus der Ferne über das Internet ausnutzbar“, sagt Lukavsky.

Was Nutzer*innen jetzt tun sollten

Auf der Website von IoT Inspector wird eine Software mit kostenloser Testphase angeboten, mit der geprüft werden kann, ob ein bestimmtes Gerät von dem gravierenden Security-Problem betroffen ist. Zudem hat IoT Inspector eine ausführliche Dokumentation der Schwachstelle veröffentlicht. Lukavsky empfiehlt Nutzer*innen zu prüfen, ob der Hersteller bereits ein Update für das betroffene Gerät bereitstellt. „Dieses auf jeden Fall installieren, falls das nicht automatisch passiert“, so der CEO von IoT Inspector. „Falls der Hersteller noch kein Update zur Verfügung gestellt hat, muss eine Risikoabwägung getroffen werden“, so der Experte.

Als Sofortmaßnahme kann etwa der Netzwerkzugriff auf betroffene Services eingeschränkt werden. Nutzer*innen könnten etwa ein „Gäste-WLAN“ einrichten, in dem bestimmte Services und Dienste nicht verfügbar sind, oder betroffene Geräte hinter einer Firewall verstecken.

Das Team von IoT Inspector warnt einmal mehr davor, Netzwerkgeräte ohne Updates zu lassen. Das könnte besonders für Unternehmen gefährlich werden: Nach Hacks von Unternehmenswebsites rangieren Angriffe auf IoT-Devices wie Router, IP-Kameras und viele mehr auf dem zweiten Platz bei Cyberangriffen. Das Problem bei IoT-Geräten ist, dass anders als bei PCs mit Monitoren oft keine physische Benutzeroberfläche vorhanden ist und deswegen bei Geräten eine Funktion fehlt, über die wichtige Updates gemeldet werden können. „Das IT-Sicherheitsdenken muss aber alle Geräte einbeziehen, die in Netzwerken eingebunden sind, regelmäßige Prüfungen und Patches umfassen“, warnt Lukavsky.