Neue Sicherheitsinformationen: Danfoss-Kühlsteuerungen bleiben trotz Updates angreifbar
Trotz zahlreicher Vorfälle mit Angriffen auf Steuerungen in Supermärkten und weiteren Angriffsversuchen wie etwa auf eine Blutbank in Frankreich hat der Hersteller es offenbar nicht geschafft, die Probleme vollständig auszuräumen, die die Steuergeräte verwundbar machen. In einer neuen Sicherheitsinformation fordert das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Nutzer derartiger Steuerungen für Kühlanlagen erneut zum unverzüglichen Handeln auf. Dass das neueste Update mit der Versionsnummer 5.4.0 vom 12. November ebenfalls kompromittiert ist, kann das BSI allerdings nicht ausschließen.
Überflüssige Analysen und erkannte Schwachstellen
Bereits gestern hatte das belgische BSI-Äquivalent, das Centre for Cybersecurity Belgium, eine dringende Warnung ausgesprochen. Hintergrund der neuen Warnungen sind nach Angaben der Forscher nur oberflächliche Codeanalysen des niederländischen IT-Sicherheitsunternehmens Midnight Blue, die von den Behörden offenbar als zutreffend erachtet werden. Midnight-Blue-Mitgründer Carlo Meijer hatte nach eigener Darstellung drastische Fehler auch in aktuellen Versionen der Steuerungsgeräte für Kühlsysteme gefunden. Binnen einer Stunde habe man ganz ohne künstliche Intelligenz in der bereits als Update zur Verfügung gestellten Version 5.3.2 der Steuerungssoftware massive Probleme entdeckt, schreibt das Unternehmen. Darunter seien allein sechs bislang unbekannte Schwachstellen gewesen, die noch vor der Authentifizierung des Nutzers lägen und eine Übernahme der Geräte ermöglicht hätten („pre-authentication RCE“).
Komplettübernahme der Steuerung denkbar
Laut Midnight Blue fehlen dem Danfoss-Controller grundlegende Sicherheitsmechanismen wie Stack Canaries, Exploit-Schutzmaßnahmen wie PIE (Position Independent Executable), aber auch Secure Boot. Nach einem erfolgreichen Angriff könnten Angreifer so schadhafte Firmware installieren. Das BSI warnt, dass so „die Geräte unbrauchbar und eine manuelle Wiederherstellung bzw. Austausch erforderlich“ gemacht werden könnte. Sprich: Wer seine Kühlung weiterbetreiben möchte, sollte mindestens updaten, besser jedoch jeden Fernzugriff unterbinden.
Neue Patches stellen keine Garantie dar
Die klare Empfehlung der Midnight Blue-Forscher lautet: die Geräte vollständig vom Internet zu trennen und knappe Ressourcen zur Mitigation von Angriffen gar nicht erst auf diese zu verschwenden. Das BSI verweist auf die ohninig nichterreichbarkeit aus dem offenen Internet, die für alle Gerätesteuerungen gelten würde, eine Beschränkung auf vertrauenswürdige Netze oder VPN-Zugänge sei für die Absicherung unabdingbar. Allerdings warnt auch das BSI: „Auch neue Patches stellen keine Garantie dar, dass in einem betroffenen Produkt nicht weitere Schwachstellen in kurzer Zeit bekannt werden.“ Angesichts der von Midnight Blue glaubhaft geschilderten Codequalitätsprobleme erscheint das derzeit nicht gerade unwahrscheinlich.
BSI-Fordern unverzügliche Handlung
Das BSI teilt uns mit, auch bei 3.4.0 Schwachstellen nicht ausschließen zu wollen.
Schlussfolgerung
Nach Updates blieben die Steuerungen weiterhin angreifbar, obwohl der Hersteller Patches veröffentlicht hat. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fordert erneut unverzüglich Handlung.
Kommentare