Microsoft warnt vor Sicherheitslücken in IoT-Systemen
Betroffen sind Produkte von ARM, Amazon, Google und Samsung. Die Schwachstellen erlauben unter Umständen das Einschleusen und Ausführen von Schadcode. Die Hersteller sind bereits informiert.
In Code, der für Internet-of Thing- und Operational-Technology-Geräte benutzt wird, stecken offenbar zahlreiche Speicherfehler. Entdeckt wurden sie von Forschern von Microsofts Azure Defender for IoT Group. Die Anfälligkeiten erlauben unter Umständen das Einschleusen und Ausführen von Schadcode.
Die als BadAlloc bezeichneten Bugs beruhen darauf, dass Eingaben nicht ausreichend überprüft werden. Das soll unter anderem Heap-Überläufe und letztlich eine Codeausführung ermöglichen. “Alle diese Schwachstellen resultieren aus der Verwendung von anfälligen Speicherfunktionen wie malloc, calloc, realloc, memalign, valloc, pvalloc und so weiter”, heißt es in einem Blogeintrag der Forscher.
“Das Konzept ist wie folgt: Wenn dieser Wert gesendet wird, ist das zurückgegebene Ergebnis ein frisch zugewiesener Speicherpuffer. Während die Größe des zugewiesenen Speichers aufgrund des Wraparound klein bleibt, übersteigt die mit der Speicherzuweisung verbundene Nutzlast den tatsächlich zugewiesenen Puffer, was zu einem Heap-Überlauf führt. Dieser Heap-Überlauf ermöglicht es einem Angreifer, bösartigen Code auf dem Zielgerät auszuführen.”
Laut Microsoft wurden die betroffenen Hersteller in Zusammenarbeit mit dem US-Heimatschutzministerium über die Sicherheitslücken informiert. Eine vollständige Liste der anfälligen Produkte findet sich in Microsofts Sicherheitsmeldung. Angreifbar sind unter anderem Geräte von ARM, Amazon, Google Cloud, Red Hat, Texas Instruments und Samsung Tizen. Je nach Produkt ergibt sich jedoch ein unterschiedlicher Schweregrad. Die Schwachstellen in Samsung Tizen wurden beispielsweise mit einem CVSS-Score von 3,2 bewertet – Red Hat Newlib vor Version 4 bringt es auf 9,8 von zehn möglichen Punkten.
Wie bei den meisten Schwachstellen rät Microsoft, die betroffenen Produkte zu patchen. Da sich Industriegeräte oftmals nur schwer aktualisieren lassen, empfiehlt Redmond, die Geräte, wenn möglich vom Internet zu trennen oder sie hinter ein VPN mit 2FA-Authentifizierung zu stellen. Kritische Anlagen sollten zudem über eine Netzwerksegmentierung geschützt werden. “Die Netzwerksegmentierung ist für Zero Trust wichtig, da sie die Möglichkeiten des Angreifers einschränkt, sich seitlich zu bewegen und die wichtigsten Ressourcen nach dem ersten Eindringen zu kompromittieren”, ergänzten die Forscher. “Insbesondere sollten IoT-Geräte und OT-Netzwerke durch Firewalls von IT-Unternehmensnetzwerken isoliert werden.”
