Sicherheitslücken ohne Ende
08.12.2020, 06:50 Uhr
Löchriges IoT gefährdet Industrie und Gesundheitswesen
IT-Security-Spezialisten von Forescout haben zahlreiche schwerwiegende Sicherheitslücken in Gerätschaften für Industrie und Medizin entdeckt, die Teil des Internet der Dinge (Internet of Things; IoT) sind.
Viele Sicherheitslücken lassen das Internet der Dinge zum Internet der Gefahren werden
(Quelle: Forescout)
US-Sicherheitsforscher haben eine Serie von gravierenden Sicherheitslücken in vernetzen Industrie-Steueranlagen, Medizingeräten und anderen vernetzten Geräten entdeckt. Von den Schwachstellen, die unter dem Namen «Amnesia:33» zusammengefasst werden, seien Organisationen und Unternehmen auf der ganzen Welt betroffen, teilte das kalifornische Sicherheitsunternehmen Forescout am Dienstag mit. «Amnesia:33» beschreibt vor allem fehlerhafte Umsetzungen des technischen Internet-Protokolls TCP/IP in vernetzten Geräten vor allem im industriellen Umfeld.
Nach Angaben von Forescout stecken die Fehler in den Produkten von mindestens 150 Anbietern weltweit. Betroffen sind demnach vernetzte Kameras, Umgebungssensoren etwa für Temperatur und Luftfeuchtigkeit, Anlagen für die intelligente Beleuchtung, smarte Stecker, Strichcodelesegeräte, vernetzte Spezialdrucker, Audiosysteme für den Einzelhandel oder auch mit dem Internet verbundene Geräte in Krankenhäusern. Forescout machte zu den betroffenen Anbietern oder den konkreten Geräten keine weitere konkreten Angaben öffentlich, um potenziellen Angreifern nicht in die Hände zu spielen. Die Hersteller wurden allerdings schon vor vier Monaten auf die Lücken hingewiesen.
33 neue Lücken
Forescout entdeckte bei seinen Forschungsarbeiten zum TCP/IP insgesamt 33 neue Schwachstellen, vier von ihnen seien «kritisch». Diese könnten Angreifer verwenden, um Daten zu stehlen, Systeme zu überlasten oder die Kontrolle über die betroffenen Geräte zu übernehmen. Die Untersuchungsergebnisse erinnern an die gravierende Sicherheitslücke «Ripple20», die im vergangenen Juni das Internet der Dinge (Internet of Things; IoT) erschüttert hatte.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) kontaktierte nach eigenen Angaben 31 europäische Unternehmen. «All jene Unternehmen, die sich auf unseren Hinweis zurückgemeldet haben, haben wir bei der Schliessung der problematischen Schwachstellen helfen können. Dennoch gibt es eine Anzahl von Unternehmen, die nicht reagiert haben.»
