Mercedes-Benz verliert Quellcode von Smart-Car-Komponenten

Der Autobauer Mercedes-Benz hat offenbar einen Server mit Quellcode für Smart-Car-Komponenten für Lastwagen nicht ausreichend abgesichert. Der Schweizer Softwareingenieur Till Kottmann war nach eigenen Angaben in der Lage, ein eigenes Konto für ein Git-Web-Portal der Mercedes-Benz-Mutter Daimler anzulegen und auf dort hinterlegten Code zuzugreifen.

Insgesamt lud Kottmann Code aus mehr als 580 Git-Repositories herunter. Darunter war auch Quellcode für Onboard Logic Units (OLU) des Unternehmens. Dabei handelt es sich um Komponenten, die zwischen der Hardware und der Software eines Fahrzeugs sitzen und es mit der Cloud verbinden. OLUs „vereinfachen den technischen Zugriff auf und die Verwaltung von Fahrzeug-Live-Daten“, heißt es auf der Daimler-Website. Unter anderem werden darüber Anwendungen zum Tracking von Fahrzeugen oder das Abschalten im Fall eines Fahrzeugdiebstahls umgesetzt.

Den offenen GitLab-Server fand Kottman mithilfe einer Google-Dorks-Suche. „Ich suche oft nach interessanten GitLab-Instanzen, meist mit Google Dorks, wenn mir langweilig ist, und ich bin immer wieder überrascht, wie einfach es ist, in die Sicherheitseinstellungen zu gelangen“, sagte der Forscher im Gespräch mit ZDNet.com. „Das war ehrlich ein sehr glücklicher Fund, während ich einfach ein paar Markennamen durchgegangen bin, in der Hoffnung vielleicht einen kleinen Lieferanten oder sowas zu finden.“

Daimler habe es versäumt, eine Whitelist für die Registrierung neuer Konten anzulegen. Das habe es ihm erlaubt, auch ohne eine Firmen-E-Mail-Adresse ein Konto beim offiziellen GitLab-Server von Daimler anzulegen. Die Daten aus den mehr als 580 Repositories veröffentlichte Kottmann unter anderem auf Mega und im Internet Archive. Darunter waren neben Quellcode für OLU-Komponenten auch Images für Raspberry Pi, Server Images, interne Dokumente für die Verwaltung von OLUs aus der Ferne, Beispielcode und interne Dokumentationen.

Darüber hinaus fand der Sicherheitsanbieter Under The Breach bei einer Analyse der Daten Passwörter und API-Tokens für interne Systeme von Daimler. Beides könnte in den falschen Händen die Planung von Angriffen auf das interne Netzwerk von Daimler begünstigen.

Daimler wurde zudem von ZDNet.com und Under The Breach über das Datenleck informiert. Inzwischen wurde der GitLab-Server abgeschaltet. Kottmann kündigte indes an, die von ihm veröffentlichten Kopien erst zu löschen, nachdem er von Daimler zu aufgefordert wurde. Auch stellt sich die Frage, ob Kottmann mit seiner Aktion gegen Gesetze verstößt, da er offenbar nicht versucht hat, Daimler zu kontaktieren, bevor er die Daten veröffentlichte. Allerdings war der GitLab-Server zumindest laut Kottmann so konfiguriert, dass wirklich jeder ein Konto anlegen konnte – als sei es ein offenes System. Laut einer Untersuchung von ZDNet.com fanden sich in dem Code auch keine Warnungen, dass es sich um geistiges Eigentum von Daimler oder Mercedes-Benz handelt.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

KI-gestütztes Programmieren bringt IT-Herausforderungen mit sich

OutSystems-Studie: 62 Prozent der Befragten haben Sicherheits- und Governance-Bedenken bei Softwareentwicklung mit KI-Unterstützung.

2 Tagen ago

Studie: Ein Drittel aller E-Mails an Unternehmen sind unerwünscht

Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…

6 Tagen ago

HubPhish: Phishing-Kampagne zielt auf europäische Unternehmen

Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…

6 Tagen ago

1. Januar 2025: Umstieg auf E-Rechnung im B2B-Geschäftsverkehr

Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.

6 Tagen ago

Google schließt schwerwiegende Sicherheitslücken in Chrome 131

Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…

6 Tagen ago

Erreichbarkeit im Weihnachtsurlaub weiterhin hoch

Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…

1 Woche ago