Der Wemo Mini Smart Plug V2, der es Benutzern ermöglicht, alles, was daran angeschlossen ist, über eine mobile App fernzusteuern, weist eine Sicherheitslücke auf, die es Cyberangreifern ermöglicht, den Schalter bei einer Vielzahl von schlechten Ergebnissen umzulegen. Dazu gehören das ferngesteuerte Ein- und Ausschalten von Elektronik sowie die Möglichkeit, tiefer in ein internes Netzwerk vorzudringen oder auf zusätzliche Geräte umzusteigen.
Der Smart Plug wird von Verbrauchern und Unternehmen gleichermaßen verwendet. Er wird an eine vorhandene Steckdose angeschlossen und stellt über Universal Plug-n-Play-Anschlüsse (UPNP) eine Verbindung zu einem internen Wi-Fi-Netzwerk und zum breiteren Internet her. Benutzer können das Gerät dann über eine mobile App steuern, was im Wesentlichen eine Möglichkeit bietet, altmodische Lampen, Ventilatoren und andere Gebrauchsgegenstände „intelligent“ zu machen. Die App lässt sich in Alexa, Google Assistant und Apple Home Kit integrieren und bietet gleichzeitig zusätzliche Funktionen wie die Planung für mehr Komfort.
Der Fehler (CVE-2023-27217) ist ein Pufferüberlauf-Schwachstelle Dies betrifft das Modell F7C063 des Geräts und ermöglicht die Remote-Befehlsinjektion, so die Forscher von Sternum, die es entdeckt haben. Als sie den Gerätehersteller Belkin um eine Lösung baten, wurde ihnen leider mitgeteilt, dass es kein Firmware-Update geben werde, da das Gerät ausgedient habe.
„Mittlerweile kann man davon ausgehen, dass viele dieser Geräte immer noch in freier Wildbahn eingesetzt werden“, sagen sie in einer Analyse erläutert am 16. Mai unter Berufung auf die 17,000 Rezensionen und die Vier-Sterne-Bewertung des Smart Plug bei Amazon. „Der Gesamtumsatz allein auf Amazon dürfte in die Hunderttausende gehen.“
Igal Zeifman, Vizepräsident für Marketing bei Sternum, sagt gegenüber Dark Reading, dass dies eine niedrige Schätzung der Angriffsfläche sei. „Das zeigt, dass wir sehr konservativ sind“, stellt er fest. „Als die Forschung begann, hatten wir allein drei davon in unserem Labor. Diese sind jetzt nicht mehr angeschlossen.“
Er fügt hinzu: „Wenn Unternehmen diese Version des Wemo-Plugins in ihrem Netzwerk verwenden, sollten sie damit aufhören oder (zumindest) sicherstellen, dass die Universal Plug-n-Play (UPNP)-Ports keinem Fernzugriff ausgesetzt sind.“ Wenn dieses Gerät eine entscheidende Rolle spielt oder mit einem kritischen Netzwerk oder Vermögenswert verbunden ist, sind Sie nicht in bester Verfassung.“
CVE-2023-27217: Was steckt in einem Namen?
Der Fehler besteht in der Art und Weise, wie die Firmware die Benennung des Smart Plug handhabt. Während „Wemo mini 6E9“ standardmäßig der Standardname des Geräts ist, können Benutzer es nach Belieben umbenennen, indem sie die in der Firmware als „FriendlyName“-Variable festgelegte Variable verwenden und sie beispielsweise in „Küchensteckdose“ oder ähnliches ändern.
„Diese Option für Benutzereingaben hat bereits unsere Spidey-Sinne gereizt, insbesondere als wir sahen, dass die Änderung des Namens in der App mit einigen Schutzmaßnahmen verbunden war, [insbesondere einer Beschränkung auf 30 Zeichen]“, stellten Sternum-Forscher fest. „Für uns warf das sofort zwei Fragen auf: ‚Sagt wer?‘ und ‚Was passiert, wenn wir es schaffen, es auf mehr als 30 Zeichen zu bringen?‘“
Da die mobile App es ihnen nicht erlaubte, einen Namen mit mehr als 30 Zeichen zu erstellen, entschieden sie sich, über pyWeMo, ein Open-Source-Python-Modul zur Erkennung und Steuerung von WeMo-Geräten, eine direkte Verbindung zum Gerät herzustellen. Sie stellten fest, dass sie durch die Umgehung der App die Leitplanke umgehen und erfolgreich einen längeren Namen eingeben konnten.
„Die Einschränkung wurde nur durch die App selbst und nicht durch den Firmware-Code erzwungen“, stellten sie fest. „Eine Eingabevalidierung wie diese sollte nicht nur auf der ‚Oberflächenebene‘ durchgeführt werden.“
Als die Forscher beobachteten, wie die Speicherstruktur mit der überfüllten Variable „FriendlyName“ umging, stellten sie fest, dass die Metadaten des Heaps durch jeden Namen mit mehr als 80 Zeichen beschädigt wurden. Diese beschädigten Werte wurden dann in nachfolgenden Heap-Vorgängen verwendet, was zu kurzen Abstürzen führte. Dies führte laut Analyse zu einem Pufferüberlauf und der Möglichkeit, die daraus resultierende Speicherneuzuweisung zu steuern.
„Es ist ein guter Weckruf hinsichtlich des Risikos, verbundene Geräte ohne jegliche geräteinterne Sicherheit zu verwenden, was heute bei 99.9 % der Geräte der Fall ist“, sagt Zeifman.
Achten Sie auf leichte Ausbeutung
Während Sternum weder einen Proof-of-Concept-Exploit veröffentlicht noch aufzählt, wie ein realer Angriffsablauf in der Praxis aussehen würde, sagt Zeifman, dass die Schwachstelle nicht schwer auszunutzen sei. Ein Angreifer benötigt entweder Netzwerkzugriff oder Remote-Universal-Plug-n-Play-Zugriff, wenn das Gerät mit dem Internet verbunden ist.
„Abgesehen davon handelt es sich um einen trivialen Pufferüberlauf auf einem Gerät mit einem ausführbaren Heap“, erklärt er. „Härtere Bastionen sind gefallen.“
Er wies darauf hin, dass es wahrscheinlich sei, dass Angriffe auch über die Cloud-Infrastrukturoption von Wemo durchgeführt werden könnten.
„Wemo-Produkte implementieren außerdem ein Cloud-Protokoll (im Grunde ein STUN-Tunnel), das Network Address Traversal (NAT) umgehen und es der mobilen App ermöglichen sollte, die Steckdose über das Internet zu betreiben“, sagt Zeifman. „Obwohl wir uns nicht allzu tief mit dem Cloud-Protokoll von Wemo befasst haben, wären wir nicht überrascht, wenn dieser Angriff auch auf diese Weise implementiert werden könnte.“
Wenn es keinen Patch gibt, können Gerätebenutzer einige Abhilfemaßnahmen ergreifen. Solange der Smart Plug beispielsweise nicht mit dem Internet verbunden ist, müsste sich der Angreifer Zugriff auf dasselbe Netzwerk verschaffen, was die Ausnutzung komplizierter macht.
Sternum führte die folgenden vernünftigen Empfehlungen aus:
- Vermeiden Sie es, die UPNP-Ports des Wemo Smart Plug V2 dem Internet auszusetzen, sei es direkt oder über die Portweiterleitung.
- Wenn Sie den Smart Plug V2 in einem sensiblen Netzwerk verwenden, sollten Sie sicherstellen, dass es ordnungsgemäß segmentiert ist und das Gerät nicht mit anderen sensiblen Geräten im selben Subnetz kommunizieren kann.
Die IoT-Sicherheit hinkt weiterhin hinterher
Was allgemeinere Erkenntnisse aus der Forschung angeht, zeigen die Ergebnisse die Tatsache, dass Anbieter des Internets der Dinge (IoT) dies tun Ich habe immer noch Probleme mit der eingebauten Sicherheit – was Organisationen bei der Installation eines Smart-Geräts berücksichtigen sollten.
„Ich denke, das ist der Kernpunkt dieser Geschichte: Das passiert, wenn Geräte ohne jeglichen Schutz auf dem Gerät ausgeliefert werden“, bemerkt Zeifman. „Wenn man sich nur darauf verlässt reaktionsschnelles Sicherheits-Patching, wie es die meisten Gerätehersteller heute tun, sind zwei Dinge sicher. Erstens werden Sie immer einen Schritt hinter dem Angreifer sein; und zweitens werden diese Patches eines Tages nicht mehr kommen.“
IoT-Geräte sollten mit „dem gleichen Maß an Endpunktsicherheit ausgestattet sein, das wir von anderen Assets, unseren Desktops, Laptops, Servern usw., erwarten“, sagt er. „Wenn Ihr Herzfrequenzmesser weniger sicher ist als der Gaming-Laptop, ist etwas furchtbar schief gelaufen – und das ist der Fall.“
- SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
- PlatoAiStream. Web3-Datenintelligenz. Wissen verstärkt. Hier zugreifen.
- Die Zukunft prägen mit Adryenn Ashley. Hier zugreifen.
- Kaufen und verkaufen Sie Anteile an PRE-IPO-Unternehmen mit PREIPO®. Hier zugreifen.
- Quelle: https://www.darkreading.com/ics-ot/belkins-wemo-smart-plug-opens-networks-cyberattacks
- :hast
- :Ist
- :nicht
- 000
- 17
- 30
- 7
- a
- Fähigkeit
- Über Uns
- Zugang
- Nach
- Konto
- Zusätzliche
- Adresse
- Fügt
- Alexa
- gleich
- erlauben
- erlaubt
- allein
- bereits
- ebenfalls
- immer
- Amazon
- an
- Analyse
- und
- jedem
- etwas
- App
- Apple
- SIND
- um
- AS
- Vermögenswert
- Details
- Assistentin
- At
- Attacke
- Anschläge
- Badewanne
- Grundsätzlich gilt
- BE
- hinter
- Sein
- Box
- breiteres
- puffern
- Pufferüberlauf
- Fehler
- Unternehmen
- by
- rufen Sie uns an!
- kam
- CAN
- kann keine
- sicher
- Ändern
- Zeichen
- Cloud
- Cloud-Infrastruktur
- Code
- Kommen
- mit uns kommunizieren,
- kompliziert
- Vernetz Dich
- Sie
- Connects
- konservativ
- KUNDEN
- weiter
- Smartgeräte App
- sehr beliebtes Sprach- und Freizeitprogramm
- verdorben
- könnte
- erstellen
- kritischem
- Cyber-Angriffe
- Dunkel
- Dunkle Lektüre
- Tag
- entschieden
- tiefer
- Standard
- Einsatz
- bezeichnet
- detailliert
- Gerät
- Geräte
- schwer
- Direkt
- entdeckt
- Entdeckung
- do
- Einfache
- entweder
- Elektronik
- Endpunkt
- Endpoint-Sicherheit
- gewährleisten
- ausgestattet
- insbesondere
- im Wesentlichen
- schätzen
- etc
- Beispiel
- vorhandenen
- existiert
- erwarten
- Erklärt
- Ausnutzen
- Ausbeutung
- ausgesetzt
- Tatsache
- Gefallen
- Fans
- weit
- Eigenschaften
- Befund
- Fixieren
- Fehler
- Fluss
- Folgende
- Aussichten für
- bevorstehend
- gefunden
- für
- Gaming
- bekommen
- gut
- groß
- hätten
- Griffe
- das passiert
- Haben
- he
- Herz
- Startseite
- Ultraschall
- HTTPS
- hunderte
- i
- if
- sofort
- implementieren
- umgesetzt
- in
- das
- Infrastruktur
- Varianten des Eingangssignals:
- Installieren
- Instanz
- Integriert
- intern
- Internet
- Internet der Dinge
- in
- iot
- isn
- IT
- Artikel
- selbst
- nur
- Wesentliche
- Labor
- Laptop
- Laptops
- führenden
- am wenigsten
- weniger
- Niveau
- Gefällt mir
- wahrscheinlich
- LIMIT
- Lang
- länger
- aussehen
- aussehen wie
- Sneaker
- um
- Hersteller
- MACHT
- verwalten
- verwaltet
- Hersteller
- viele
- Marketing
- max-width
- Kann..
- gemeint
- Mittlerweile
- Memory
- Metadaten
- Mobil
- App
- Modell
- Modul
- Überwachen
- mehr
- vor allem warme
- ziehen um
- Name
- Benennung
- Need
- Netzwerk
- Netzwerke
- nicht
- bekannt
- Notizen
- jetzt an
- erhalten
- of
- WOW!
- bieten
- on
- EINEM
- einzige
- XNUMXh geöffnet
- Open-Source-
- öffnet
- betreiben
- Einkauf & Prozesse
- Option
- or
- Auftrag
- Organisationen
- Andere
- UNSERE
- Ergebnisse
- aussen
- Patch
- Patches
- Plato
- Datenintelligenz von Plato
- PlatoData
- spielt
- Stecker
- Gesteckt
- Plugin
- Points
- Potenzial
- Praxis
- Präsident
- Produkte
- richtig
- Sicherheit
- Protokoll
- Python
- Fragen
- geschafft
- Wertung
- Lesebrillen
- realen Welt
- Empfehlungen
- regulär
- verlassen
- entfernt
- Fernzugriff
- Forschungsprojekte
- Forscher
- Einschränkung
- was zu
- Bewertungen
- Risiko
- Rollen
- s
- Safe
- Vertrieb
- gleich
- sagt
- Planung
- Verbindung
- Sicherheitdienst
- Sicherheitslücke
- empfindlich
- Fertige Server
- Form
- ausgeliefert
- Short
- sollte
- Vitrine
- ähnlich
- da
- smart
- einige
- etwas
- speziell
- begonnen
- Schritt
- Immer noch
- Stoppen
- Geschichte
- Struktur
- Struggling
- Subnetz
- Folge
- Erfolgreich
- so
- Oberfläche
- überrascht
- Schalter
- Nehmen
- Takeaways
- Angezapft
- erzählt
- als
- zur Verbesserung der Gesundheitsgerechtigkeit
- Das
- ihr
- Sie
- dann
- Diese
- vom Nutzer definierten
- think
- fehlen uns die Worte.
- diejenigen
- Tausende
- nach drei
- Durch
- zu
- heute
- auch
- Gesamt
- Drehung
- Drehungen
- XNUMX
- Unglücklicherweise
- Universal-
- unplugged
- Aktualisierung
- us
- benutzt
- Mitglied
- Nutzer
- Verwendung von
- Nutzen
- Bestätigung
- Werte
- Vielfalt
- Anbieter
- Version
- sehr
- Vizepräsident:in
- Verwundbarkeit
- wurde
- Weg..
- we
- GUT
- waren
- Was
- wann
- welche
- während
- WHO
- Wi-fi
- Wild
- werden wir
- mit
- ohne
- würde
- Falsch
- Du
- Ihr
- Zephyrnet