Bug in Open-Source-Software macht Millionen von Überwachungskameras angreifbar

Forscher des Sicherheitsanbieters Senrio haben eine Schwachstelle entdeckt, die es erlaubt, Überwachungskameras ohne viel Aufwand zu hacken und aus der Ferne zu steuern. Die Anfälligkeit steckt in einer Open-Source-Software namens gSOAP, einem Software Development Kit für auf SOAP/XML basierende Web-Services.

Ihren Zero-Day-Exploit nennen die Forscher nach der aus Asien stammenden Kletterpflanze Devil’s Ivy, da sie sich schnell verbreitet und nur sehr schwer wieder entfernen lässt. Mithilfe des Exploits können die Forscher den Video-Feed einer Überwachungskamera ausspähen, die Aufnahme anhalten oder gar die Kamera abschalten.

Auf den Bug stieß Senrio bei einer Untersuchung von Sicherheitskameras von Axis, einem der größten Anbieter von internetfähigen Überwachungskameras. Axis-Produkte werden weltweit zur Überwachung eingesetzt. Unter anderem stammen alle am Flughafen Los Angeles eingesetzten Kameras von Axis.

Von der Sicherheitslücke sind alleine 249 Kameramodelle von Axis betroffen. Zudem sind Produkte von 34 anderen Herstellern anfällig. Da es sich um einen Fehler in einer Open-Source-Software handelt, deren Code jedem offen steht, geht Senrio davon aus, dass weltweit Millionen andere Geräte angreifbar sind.

Genivia, das hinter der Entwicklung von gSOAP steht, zählt nach eigenen Angaben auch Technikfirmen wie IBM, Microsoft und Adobe zu seinen Nutzern. Insgesamt sei seine Software mehr als eine Millionen Mal heruntergeladen worden.

Axis hat laut Senrio bereits mit der Verteilung einer fehlerbereinigten Firmware begonnen und seine Partner und Kunden aufgefordert, ein Upgrade durchzuführen. Senrio bestätigte zudem, dass der von Axis entwickelte Fix den Devil’s-Ivy-Exploit unwirksam macht.

Die Sicherheit von Überwachungskameras steht nicht das erste Mal in der Kritik. F-Secure meldete bereits im Juni 18 Schwachstellen in Produkten des chinesischen Herstellers Foscam, die unter zahlreichen verschiedenen Markennamen verkauft werden. Auch hier war es den Forschern möglich, Videoaufnahmen zu betrachten und die Aufzeichnung zu stoppen. Zudem ließen sich kompromittierte Kameras für DDoS-Attacken und andere bösartige Aktionen nutzen.

[mit Material von Alfred Ng, News.com]