Sicherheitsforscher haben insgesamt zehn Schwachstellen in der OvrC-Cloudplattform entdeckt. Dadurch war es Angreifern möglich, auf Geräte wie Kameras, Router oder Smart-Home-Devices zuzugreifen, sie zu kontrollieren und zu stören.
Die Schwachstellen wurden dem Hersteller SnapOne gemeldet, der sie mittlerweile behoben hat. Dennoch möchten die Sicherheitsforscher auf die grundlegenden Sicherheitsrisiken durch die Nutzung von IoT-Geräten hinweisen, die oftmals nicht mit einem Schwerpunkt auf Cybersecurity entwickelt werden.
Anzeige
Ablauf des Angriffs auf OvrC
- Auffinden aller mit der Cloud verbundenen IoT-Geräte (CVE-2023-28412): Wenn Angreifer eine recht einfach zu erratende MAC-Adresse übermitteln, geben die OvrC-Server ein unterschiedliches Ergebnis zurück, je nachdem, ob das Gerät bereits beansprucht wird, nicht beansprucht wird oder nicht existiert. Dies ermöglicht es Cyberkriminellen, sämtliche verbundenen Geräte zu identifizieren.
- Bei jedem identifizierten Gerät prüfen, ob es bereits von einem Benutzter beansprucht wird. Falls dem so ist, wird das Gerät vom Konto getrennt und ist so nicht mehr „beansprucht“ (CVE-2024-50381, CVE-2023-28649): Durch den OvrC-Hub lassen sich Geräte wieder freigeben. Wenn die OvrC-Cloud einen entsprechenden Befehl empfängt, prüft sie nicht, ob die angegebenen Geräte tatsächlich mit dem Hub verbunden sind, und hebt den Anspruch auf diese Geräte sofort auf. Auf diese Weise können Angreifer sämtliche Geräte trennen und dann beanspruchen.
- Das Gerät beanspruchen und eine Verbindung zum Konto des Angreifers erzwingen (CVE-2023-31241): Damit nur die tatsächlichen Besitzer ihre Geräte verbinden können, müssen sie sich mit der MAC-Adresse und der Seriennummer des Geräts verifizieren. Durch die gefundene Schwachstelle war es jedoch möglich, sich nur durch die MAC-Adresse zu identifizieren und so die Herrschaft über das Gerät zu erlangen.
- Steuerung des IoT-Geräts über die OvrC-Cloud. Als scheinbar legitimer User können die Angreifer das Gerät nun steuern.
- Als „Bonus“ ist zudem noch die Ausführung von Code aus der Ferne möglich (CVE-2023-31240, CVE-2023-25183). Bei ihren Untersuchungen entdeckten die Sicherheitsforscher einen eingebauten, versteckten Benutzer im System: den Superuser. Dessen Anmeldedaten waren zudem leicht aus der MAC-Adresse und dem Service-Tag zu erschließen. Nach dem Login konnten so beliebige Befehle auf dem Hub-Gerät ausgeführt werden.
Über Claroty Claroty, die Industrial Cybersecurity Company, hilft ihren weltweiten Kunden, ihre OT-, IoT- und IIoT-Anlagen zu erkennen, zu schützen und zu verwalten. Die umfassende Plattform des Unternehmens lässt sich nahtlos in die bestehende Infrastruktur und Prozesse der Kunden einbinden und bietet eine breite Palette an industriellen Cybersicherheitskontrollen für Transparenz, Bedrohungserkennung, Risiko- und Schwachstellenmanagement sowie sicheren Fernzugriff – bei deutlich reduzierten Gesamtbetriebskosten.
Passende Artikel zum Thema