Die Sicherheitsforscher von Team82, der Forschungsabteilung des Spezialisten für die Sicherheit von cyber-physischen Systemen (CPS) Claroty, haben insgesamt zehn Schwachstellen in der OvrC-Cloudplattform entdeckt. Dadurch war es Angreifern möglich, auf Geräte wie Kameras, Router oder Smart-Home-Devices zuzugreifen, sie zu kontrollieren und zu stören. Die Schwachstellen wurden dem Hersteller SnapOne gemeldet, der sie mittlerweile behoben hat. Dennoch möchten die Sicherheitsforscher auf die grundlegenden Sicherheitsrisiken durch die Nutzung von IoT-Geräten hinweisen, die oftmals nicht mit einem Schwerpunkt auf Cybersecurity entwickelt werden.
OvrC wird von Unternehmen und Privatpersonen gleichermaßen zur Konfiguration, Überwachung und Fehlerbehebung von Geräten aus der Ferne über eine mobile Anwendung oder eine Websocket-basierte Benutzeroberfläche verwendet. OvrC unterstützt unter anderem intelligente Geräte zur Hausautomatisierung, elektrische Schalter, Kameras und Router. Schätzungen zufolge laufen derzeit weltweit rund 10 Millionen Geräte über die Plattform. Zusätzlich zu den OvrC-kompatiblen Geräten kann die Plattform auch in Geräte von Drittanbietern integriert werden. So unterstützt die OvrC-Cloud zum Beispiel Roku-Geräte und ermöglicht es den Nutzern, Anwendungen auf ihren Fernsehern zu starten. Durch die Kombination der entdeckten Schwachstellen waren Angreifer in der Lage, sämtliche verbundenen Geräte zu übernehmen und auch Code auf ihnen auszuführen.
Ablauf des Angriffs
- Auffinden aller mit der Cloud verbundenen IoT-Geräte (CVE-2023-28412): Wenn Angreifer eine recht einfach zu erratende MAC-Adresse übermitteln, geben die OvrC-Server ein unterschiedliches Ergebnis zurück, je nachdem, ob das Gerät bereits beansprucht wird, nicht beansprucht wird oder nicht existiert. Dies ermöglicht es Cyberkriminellen, sämtliche verbundenen Geräte zu identifizieren.
- Bei jedem identifizierten Gerät prüfen, ob es bereits von einem Benutzter beansprucht wird. Falls dem so ist, wird das Gerät vom Konto getrennt und ist so nicht mehr „beansprucht“ (CVE-2024-50381, CVE-2023-28649): Durch den OvrC-Hub lassen sich Geräte wieder freigeben. Wenn die OvrC-Cloud einen entsprechenden Befehl empfängt, prüft sie nicht, ob die angegebenen Geräte tatsächlich mit dem Hub verbunden sind, und hebt den Anspruch auf diese Geräte sofort auf. Auf diese Weise können Angreifer sämtliche Geräte trennen und dann beanspruchen.
- Das Gerät beanspruchen und eine Verbindung zum Konto des Angreifers erzwingen (CVE-2023-31241): Damit nur die tatsächlichen Besitzer ihre Geräte verbinden können, müssen sie sich mit der MAC-Adresse und der Seriennummer des Geräts verifizieren. Durch die gefundene Schwachstelle war es jedoch möglich, sich nur durch die MAC-Adresse zu identifizieren und so die Herrschaft über das Gerät zu erlangen.
- Steuerung des IoT-Geräts über die OvrC-Cloud. Als scheinbar legitimer User können die Angreifer das Gerät nun steuern.
- Als Bonus ist zudem noch die Ausführung von Code aus der Ferne möglich (CVE-2023-31240, CVE-2023-25183). Bei ihren Untersuchungen entdeckten die Sicherheitsforscher einen eingebauten, versteckten Benutzer im System: den Superuser. Dessen Anmeldedaten waren zudem leicht aus der MAC-Adresse und dem Service-Tag zu erschließen. Nach dem Login konnten so beliebige Befehle auf dem Hub-Gerät ausgeführt werden.
Angreifer verketten eine Handvoll Schwachstellen, um auf IoT-Geräte zuzugreifen, sie zu stören oder zu manipulieren.
„Da jeden Tag mehr Geräte online gehen und die Cloud-Verwaltung zum dominierenden Weg für die Konfiguration und den Zugriff auf Dienste wird, sind Hersteller und Cloud-Service-Anbieter mehr denn je gefordert, diese Geräte und Verbindungen zu sichern“, sagt Thorsten Eckert, Regional Vice President Sales Central von Claroty. „Unsere Sicherheitsforscher haben gezeigt, wie Angreifer eine Handvoll Schwachstellen verketten können, um auf IoT-Geräte zuzugreifen, sie zu stören oder zu manipulieren. Unsere Offenlegung hat dazu beigetragen, die Sicherheit der OvrC-Plattform zu verbessern, da alle zehn von uns gemeldeten Schwachstellen behoben wurden.“
Weitere Informationen, Hintergründe und technische Details finden sich im entsprechenden Blog-Beitrag von Claroty.