.jpg "ONEKEY GmbH")
Broadcom: Massive SDK-Sicherheitslücken durch Copy-Paste-Engineering
Bad Homburg (ots)
- Cisco Small Business-Router und andere namhafte Hersteller betroffen
- Schwachstellen wurden bereits 2011 entdeckt und tauchen dennoch immer wieder auf
In zahlreichen Geräten führender Anbieter wie Cisco, DD-WRT oder Linksys finden sich Hardware-Bausteine von Broadcom. Diese enthalten deutliche Sicherheitslücken im Software Development Kit (SDK), berichtet das Security-Unternehmen IoT Inspector. Das Team des IoT Inspector Research Lab deckte soeben Schwachstellen auf, die sich seit über zehn Jahren wie ein roter Faden durch auf Broadcom aufbauende Produkte ziehen, und für Hacker eine willkommene verwundbare Flanke bieten. "Neben der Problematik der nicht überwachten Supply Chain - also der Nutzung von Hardware ohne vorheriger Risiko-Überprüfung - fällt hier auf, wie schwerwiegend die Folgen von Copy-Paste-Engineering sein können: Diese Schwachstellen werden - obwohl Broadcom nach unseren Ergebnissen bereits 2011 einen Patch veröffentlichte - immer wieder in Produkte führender Hersteller verbaut, die auf eine fehlerhafte Version des SDK aufbauen", analysiert Florian Lukavsky, Geschäftsführer von IoT Inspector. Das Unternehmen bietet eine umfassende Plattform zur Analyse von Device-Firmware und deckt regelmäßig Schwachstellen bei Komponenten- oder Geräteherstellern auf. Meist erfolgen diese Security-Checks im Auftrag der Hersteller und Inverkehrbringer sowie zu wissenschaftlichen Zwecken.
Supply Chain erfordert Kontrolle
Von den Sicherheitslücken betroffen sind unter anderem die Cisco-Router der Small Business Serie RV110W, RV130, RV130W und RV215W, die tausendfach bei Unternehmen im Einsatz sind. Diese ermöglicht über die Universal Plug-and-Play (UPnP)-Funktion die Fernsteuerung des Routers und eine DoS-Attacke (Denial of Service). Die Schwachstelle wird unter der CVE-2021-34730 mit einer Risikobewertung von 9.8 (kritisch) für Cisco geführt. Problematisch ist die Identifikation der betroffenen Geräte - bis heute hat Broadcom keine Informationen darüber gegeben, welche Versionen der SDK bestroffen sind. Wie auch schon bei der weltweit hunderttausendfach verbreiteten Realtek-Schwachstelle bietet IoT Inspector einen kostenlosen Service, mit dem Nutzer prüfen können, ob ein genutztes Produkt der genannten Hersteller betroffen ist. "Die wahre Schwachstelle liegt in der Supply Chain. Gerätehersteller nutzen Bausteine von Fremdherstellern und verbauen diese ohne Prüfung der Quellcodes. Das muss sich schnell ändern, um Transparenz zu schaffen und Hacker soweit wie möglich in die Defensive zu drängen", erklärt Florian Lukavsky von IoT Inspector.
Copy-Paste-Engineering
Eine Ursache solcher Schwachstellen ist die Nutzung bestehender Software Development Kits, die lediglich auf neue Geräte umgeschrieben werden. Dabei liegt in der Tiefe des Codes ein gewaltiges Potential für Schäden. "Schwachstellen wie diese verstecken sich oft tief im Code und fallen bei der Entwicklung von Komponenten wie WLAN-Routern kaum auf. So potenziert sich jedoch die damit verbundene Gefahr, während die Nachverfolgbarkeit der Lücken erschwert wird", resümiert Florian Lukavsky. Die IoT Inspector-Plattform ist in der Lage, zahlreiche Schwachstellen bei einer automatisiert ablaufenden Firmware-Prüfung aufzufinden. Die Beseitigung liegt dann wieder beim jeweiligen Hersteller bzw. Inverkehrbringer - in der laufenden Fertigung wie auch für bestehende Geräte im Markt, die eines Patches bedürfen. Aber selbst diese können Risiken bergen, so die Erfahrungen von IoT Inspector: Nicht selten werden mit einem ungeprüften Patch neue Schwachstellen gebildet.
Über IoT Inspector:
Die Technologie von IoT Inspector ermöglicht mit wenigen Mausklicks eine automatisierte Firmware-Prüfung von IoT-Devices auf kritische Sicherheitslücken. Der integrierte Compliance Checker deckt gleichzeitig Verletzungen internationaler Compliance-Vorgaben auf. Schwachstellen für Angriffe von außen und Sicherheitsrisiken werden in kürzester Zeit identifiziert und können gezielt behoben werden. Die einfach per Web-Interface zu bedienende Lösung deckt für Hersteller und Inverkehrbringer von IoT-Technologie unbekannte Sicherheitsrisiken auf. Dies gilt insbesondere für Produkte, die von einem OEM-Partner gefertigt werden. Auch Infrastrukturanbieter, Beratungsunternehmen, Wissenschaftler und Systemhäuser profitieren von dem Angebot und können Ihren Kunden wertvollen Mehrwert bieten. Universitäten und Forschungseinrichtungen steht mit IoT Inspector Edu die gesamte Plattform kostenlos zur Verfügung: https://www.iot-inspector.com/de/iot-inspector-edu-lehre-forschung/.
Pressekontakt:
IoT Inspector GmbH,
Tannenwaldallee 2, 61348 Bad Homburg, Deutschland,
Julia Alunovic, E-Mail: julia@iot-inspector.com,
Web: https://www.iot-inspector.com
PR-Agentur: euromarcom public relations GmbH,
Mühlhohle 2, 65205 Wiesbaden, Deutschland, Tel.: +49 (0)611-973150,
E-Mail: team@euromarcom.de, Web: www.euromarcom.de
Original content of: ONEKEY GmbH, transmitted by news aktuell