Angriffe auf intelligente Türsysteme häufen sich

(PresseBox) ( Neustadt an der Weinstraße, )
Smarte Zugangskontrollsysteme sollen die Sicherheit in Unternehmen, Fabriken und Behörden verbessern. Mittels Chipkarte hat jeder Mitarbeiter nur zu den Bereichen Zugang, die für ihn relevant sind. Die Nutzung der Karten lässt sich protokollieren und en Detail nachvollziehen. Umso schlimmer ist es, wenn ein solches System eine Sicherheitslücke hat, so wie es offenbar bei Linear eMerge E3 der Fall ist, einem Produkt von Nortek Security & Control (NSC).

Bereits im Mai 2019 veröffentlichten Sicherheitsforscher von Applied Risk Details zu zehn Sicherheitslücken in den Linear-eMerge-E3-Produkten, von denen sechs mit einer Schwere zwischen 9,8 und 10,0 auf einer zehnstufigen Skala eingestuft wurden. Im November 2019 folgte die Veröffentlichung eines Proof of Concept. Trotzdem stellte NSC offenbar bislang keine Patches für die Sicherheitslücken zur Verfügung.

Diese Nachlässigkeit nutzen kriminelle Hacker derzeit verstärkt aus, wie ein Bericht des Firewall-Herstellers SonicWall nahelegt. Seit dem 09. Januar 2020 wird insbesondere die Sicherheitslücke CVE-2019-7256 dafür genutzt, um Schadsoftware in die Zugangssysteme einzuschleusen und diese anschließend für Denial-of-Service-Angriffe (DoS) auf andere Ziele zu nutzen. Bei CVE-2019-7256 handelt es sich um einen Fehler bei der Eingabe von Befehlen, der von Applied Risk mit dem höchstmöglichen Schweregrad bewertet wurde. Diese Sicherheitslücke kann auch von gering qualifizierten Angreifern ohne fortgeschrittene technische Kenntnisse aus der Ferne ausgenutzt werden.

Betroffen sind laut Sonic Wall insgesamt 2.375 über das Internet zugängliche Geräte, die mit der Shodan-Suchmaschine gefunden werden können. Das klingt nach nicht allzu vielen Geräten, die für einen Distributed-Denial-of-Service-Angriff (DDoS) verwendet werden können. Allerdings könnten intelligente Zugangssysteme auch als Einfallstor in die internen und weitaus sensibleren Umgebungen der betroffenen Unternehmen genutzt werden. Erst im August 2019 berichtete Microsoft, dass eine scheinbar russische Hackergruppe Internet-of-Things-Geräte (IoT) angegriffen habe, um sich so weiter in die betroffenen Systeme vorzuarbeiten. Das könnte auch den Nutzern von CVE-2019-7256 blühen, ganz davon abgesehen, dass ein gekapertes Türsystem auch andere sicherheitsrelevante Probleme mit sich bringt.

Nutzern eines betroffenen Zugangssystems wird aktuell empfohlen, das System vom Internet zu trennen, um es nicht angreifbar zu machen. Ist das nicht möglich, sollte der Zugriff auf die Geräte begrenzt werden, etwa mit einem VPN oder einer Firewall. Wünschenswert wäre ein baldiger Patch, der auch die anderen von Applied Risk beschriebenen Sicherheitslücken schließt.

 
Für die oben stehenden Pressemitteilungen, das angezeigte Event bzw. das Stellenangebot sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Herausgeber (siehe Firmeninfo bei Klick auf Bild/Meldungstitel oder Firmeninfo rechte Spalte) verantwortlich. Dieser ist in der Regel auch Urheber der Pressetexte sowie der angehängten Bild-, Ton- und Informationsmaterialien.
Die Nutzung von hier veröffentlichten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Bei Veröffentlichung senden Sie bitte ein Belegexemplar an service@pressebox.de.