Bitdefender: Schwachstellen in Überwachungskameras – 100 Millionen Geräte betroffen

IoT als Einfallstor ins Unternehmens- oder Heimnetzwerk: Die Kontrolle über Gebäudekameras, aber auch Video-Babyphones von Herstellern wie Roku, Wyze und Owlet können Hacker übernehmen. Die Schwachstelle: Das TUTK-Framework des IoT-Plattformanbieters Throughtec.

Nach Angaben von Throughtec ist sein TUTK-Framework in weltweit mehr als 100 Millionen Geräten installiert und zwar hauptsächlich in Sicherheits- und Überwachungskameras für private Anwender. Security¬-Experten von Bitdefender haben vier Schwachstellen im ThroughTek-Kaylay (TUTK)-Framework entdeckt, auf das viele Hersteller von IoT-Geräten zurückgreifen. Sicher betroffen sind Geräte der bekannten Marken Roku, Wyze und Owlet.

Hacker, die die einzelnen Schwachstellen kombinieren, könnten die völlige Kontrolle übernehmen, die Geräte ausspionieren oder Malware installieren, warnt Bitdefender.

Es gelang ihnen auch, Roku Indoor Kamera SE, den Owlet Cam Next-Gen Smart HD Video Baby Monitor in den Versionen 1 und 2 sowie die Wyze Cam v3 zu kompromittieren. Über schlecht geschützte Babyphones könnten Hacker ins heimische WLAN eindringen und dort alle angebundenen Geräte manipulieren. Gleiches gilt für Unternehmensnetzwerke, wenn dort Kameras der Gebäudeüberwachung angesteuert werden können.

Wenn Bitdefender, wie auch andere IT-Security-Hersteller, Schwachstellen entdecken, informieren sie zunächst die Hersteller. Im optimalen Fall reagieren diese umgehend und schließen die Bugs per Push-Update. Erst dann geht Bitdefender in die öffentliche Kommunikationen und gibt, wie in diesem Fall Entwarnung. " Die Hersteller haben die Schwachstellen auf die Bitdefender-Nachweise hin mittlerweile per Push-Update geschlossen".

Alles gut, also? Nicht unbedingt. Zwar können viele IoT-Clients oder Router automatisch aktuelle Updates herunterladen und installieren. Die Auto-Update-Funktion kann man als Nutzer aber auch deaktivieren. Daher gibt die von Bitdefender genannten Überwachungsgeräte: Nutzer sollten dringend den Update-Status ihrer IoT-Geräte und den Schutz ihrer Router überprüfen.

Folgende Schwachstellen meldete Bitdefender an die Hersteller, welche sie per Push-Update geschlossen haben:

• CVE-2023-6321 erlaubt authentifizierten Nutzern das Durchführen von Systembefehlen. Root-Anwender können so die vollständige Kontrolle über das Gerät erlangen.
• CVE-2023-6322 eröffnet Angreifern Root-Zugang über eine Stack-basierte Buffer-Overflow-Schwachstelle.
• CVE-2023-6323 legt den AuthKey-Zeichenschlüssel für die Verbindung von Hardware mit der Smartphone-App offen, so dass Hacker eine Verbindung mit dem IoT-Gerät aufnehmen können.
• CVE-2023-6324 ermöglicht den Zugriff auf geteilte Schlüssel zu einer DTLS-Session und damit den Kontakt und die Kommunikation mit der anzugreifenden Hardware.