Sicherheitsforscher von Bitdefender Labs haben eine Sicherheitslücke im Bosch-Thermostat BCC100 entdeckt, die sowohl die Privatsphäre als auch den Komfort der Nutzer gefährden könnte, da sie es Angreifern ermöglicht, auf Thermostateinstellungen und -daten zuzugreifen, Einstellungen aus der Ferne zu manipulieren und Malware zu installieren. Das Thermostat reiht sich damit ein in eine ganze Reihe von IoT-Geräten, die anfällig für Cyberangriffe sind. Vom smarten Skateboard bis zur Kaffeemaschine, vom Laufband bis zur Sicherheitskamera – jedes Gerät, das mit dem Internet verbunden ist, ist anfällig für potenzielle Bedrohungen. Überraschend ist eine solche Schwachstelle also keinesfalls.
Entdeckt wurde die Sicherheitslücke bereits Ende August im Rahmen von Routinechecks, bei denen Bitdefender Labs als Hersteller eines Cybersecurity-Hubs für das smarte Zuhause regelmäßig beliebte IoT-Hardware auf Schwachstellen überprüft. Betroffen scheinen die Versionen 1.7.0 - HD Version 4.13.22 des intelligenten Thermostats zu sein, bei denen Angreifer die Gerätefirmware durch eine gefälschte Version ersetzen können.
Um zu verstehen, wie das möglich ist, muss man sich die Funktion des Thermostats genauer ansehen. Er verwendet zwei Mikrocontroller: einen Hi-Flying-Chip (HF-LPT230) für die Wi-Fi-Funktionalität und einen STMicroelectronics-Chip (STM32F103) für die Implementierung der Hauptlogik. Der STM-Chip verfügt über keine Netzwerkfunktionen und ist für die Kommunikation auf den Wi-Fi-Chip angewiesen. Der Wi-Fi-Chip hört den TCP-Port 8899 im LAN ab und spiegelt über den UART-Datenbus jede empfangene Nachricht direkt an den Haupt-Mikrocontroller. Dabei kann dieser jedoch nicht zwischen bösartigen und echten, vom Cloud-Server gesendeten Nachrichten unterscheiden. Ein Angreifer kann dies ausnutzen, um Befehle an den Thermostat zu senden, einschließlich manipulierter Updates.
Der Thermostat kommuniziert dabei mit dem Server connect.boschconnectedcontrol.com über JSON-codierte Nutzdaten, die unmaskiert und leicht zu imitieren sind, über einen WebSocket. Das Gerät initiiert den device/update-Befehl auf Port 8899 und veranlasst den Thermostat so dazu, Details vom Cloud-Server anzufordern. Trotz eines Fehlercodes akzeptiert das Gerät auch eine gefälschte Antwort mit den Details der Firmware-Aktualisierung, einschließlich URL, Größe, MD5-Prüfsumme und Version. Das Gerät fordert dann den Cloud-Server auf, die Firmware herunterzuladen und sie über den WebSocket zu senden, um sicherzustellen, dass die URL zugänglich ist. Sobald das Gerät die Datei erhält, führt es das Upgrade durch und schließt damit die Kompromittierung ab.
Nach der Bestätigung der Sicherheitslücke im Oktober begann man bei Bosch direkt mit der Arbeit an einer Lösung, die am 9. Januar in Form einer Sicherheitsempfehlung publiziert wurde. Am 11. Januar folgte dann die Veröffentlichung der Erkenntnisse von Bit Defender Lab. Nutzer der betroffenen Thermostate sollten schnellstmöglich die Software ihrer Geräte auf den neuesten Stand bringen und die Admin-Passwörter ändern. Darüber hinaus empfehlen die Sicherheitsforscher, eine Firewall zu nutzen, um unliebsame Gäste von den eigenen Netzwerken fern zu halten.
Entdeckt wurde die Sicherheitslücke bereits Ende August im Rahmen von Routinechecks, bei denen Bitdefender Labs als Hersteller eines Cybersecurity-Hubs für das smarte Zuhause regelmäßig beliebte IoT-Hardware auf Schwachstellen überprüft. Betroffen scheinen die Versionen 1.7.0 - HD Version 4.13.22 des intelligenten Thermostats zu sein, bei denen Angreifer die Gerätefirmware durch eine gefälschte Version ersetzen können.
Um zu verstehen, wie das möglich ist, muss man sich die Funktion des Thermostats genauer ansehen. Er verwendet zwei Mikrocontroller: einen Hi-Flying-Chip (HF-LPT230) für die Wi-Fi-Funktionalität und einen STMicroelectronics-Chip (STM32F103) für die Implementierung der Hauptlogik. Der STM-Chip verfügt über keine Netzwerkfunktionen und ist für die Kommunikation auf den Wi-Fi-Chip angewiesen. Der Wi-Fi-Chip hört den TCP-Port 8899 im LAN ab und spiegelt über den UART-Datenbus jede empfangene Nachricht direkt an den Haupt-Mikrocontroller. Dabei kann dieser jedoch nicht zwischen bösartigen und echten, vom Cloud-Server gesendeten Nachrichten unterscheiden. Ein Angreifer kann dies ausnutzen, um Befehle an den Thermostat zu senden, einschließlich manipulierter Updates.
Der Thermostat kommuniziert dabei mit dem Server connect.boschconnectedcontrol.com über JSON-codierte Nutzdaten, die unmaskiert und leicht zu imitieren sind, über einen WebSocket. Das Gerät initiiert den device/update-Befehl auf Port 8899 und veranlasst den Thermostat so dazu, Details vom Cloud-Server anzufordern. Trotz eines Fehlercodes akzeptiert das Gerät auch eine gefälschte Antwort mit den Details der Firmware-Aktualisierung, einschließlich URL, Größe, MD5-Prüfsumme und Version. Das Gerät fordert dann den Cloud-Server auf, die Firmware herunterzuladen und sie über den WebSocket zu senden, um sicherzustellen, dass die URL zugänglich ist. Sobald das Gerät die Datei erhält, führt es das Upgrade durch und schließt damit die Kompromittierung ab.
Nach der Bestätigung der Sicherheitslücke im Oktober begann man bei Bosch direkt mit der Arbeit an einer Lösung, die am 9. Januar in Form einer Sicherheitsempfehlung publiziert wurde. Am 11. Januar folgte dann die Veröffentlichung der Erkenntnisse von Bit Defender Lab. Nutzer der betroffenen Thermostate sollten schnellstmöglich die Software ihrer Geräte auf den neuesten Stand bringen und die Admin-Passwörter ändern. Darüber hinaus empfehlen die Sicherheitsforscher, eine Firewall zu nutzen, um unliebsame Gäste von den eigenen Netzwerken fern zu halten.
