Millionen vernetzte Geräte mit kaum behebbarem Bug im TCP/IP-Stack

Eine neue Sammlung von Bugs in einem TCP/IP-Stack zeigt eindringlich, welch gravierende Folgen die mangelhafte Beachtung der IT-Sicherheit in der gesamten IoT-Branche hat. Viele Millionen von Geräten dürften über Jahre hinweg schlicht ein Sicherheitsrisiko darstellen. Der fragliche Komplex an Schwachstellen wurde von ihren Entdeckern mit dem Titel "Ripple20" bedacht. Insgesamt handelt es sich hier um 19 einzelne Sicherheitslücken, die in einem Netzwerk-Stack zu finden waren, die beim US-Unternehmen Treck entwickelt wurden. Die Software gehört hier zu einer Bibliotheken-Sammlung, die man an Hersteller von vernetzten Systemen weiterlizenziert.

Die Produktpalette, in die die Treck-Programme einfließen decken von medizinischen Systemen bis hin zu so genannten Smart Home-Devices eine große Bandbreite im IoT-Sektor ab. Es ist weit verbreitet, dass Hersteller diverser Geräte die benötigte Firmware im Grunde komplett bei einzelnen Dienstleistern zukaufen und nur noch geringfügig an ihr spezielles Produkt anpassen.

Wo nie ein Patche gewesen ist

Das allerdings führt in Fällen wie bei Ripple20 zu mächtigen Problemen. Denn die Bugs im TCP/IP-Stack werden hier gleich an eine große Zahl von Produzenten verteilt und sind aufgrund dessen in einer riesigen Palette von Produkten zu finden. Hinzu kommt, dass es hier um Geräte geht, die zwar an Netzwerke angebunden sind, es in den meisten Fällen aber kaum zu erwarten ist, dass jemals ein Patch zur Behebung der Fehler installiert wird.

Nicht alle, aber ein Teil der neu entdeckten Schwachstellen ermöglichen es, die Geräte aus der Entfernung über das Netzwerk durch eingeschleusten Code komplett zu übernehmen. Da Angreifer kaum damit rechnen müssen, ihre Installationen durch Firmware-Updates wieder zu verlieren, ist es im Grunde möglich, zukunftsgerichtete Schläfer-Botnetze aufzubauen. Diese können über Monate oder gar Jahre kein Anzeichen von Problemen zeigen und zu irgendeinem Zeitpunkt in der Zukunft plötzlich aktiv werden.

Siehe auch: