Verschiedene Überwachungskameras und Netzwerk-Videorekorder (NVR) des chinesischen Herstellers Hikvision haben eine Sicherheitslücke, die unangemeldeten Angreifern unter bestimmten Bedingungen den Zugriff auf die Geräte erlaubt. Das Security-Problem befindet sich in dem Modul der Firmware, das für die Anbindung an Hik-Connect verantwortlich ist, die herstellereigene App für Tablets und Smartphones. Anzeige In einem knappen Sicherheitshinweis erläutert Hikvision, dass Angreifer "aus der Ferne Dienste konsumieren könnten, indem sie präparierte Nachrichten an die betroffenen Geräte schicken" – eine Umschreibung für die Umgehung der Benutzeranmeldung auf den angreifbaren Geräten. Welche das sind, können Anwender einer Liste auf der Hikvision-Seite entnehmen, die auch über fehlerbereinigte Firmwares informiert. Hikvision hat für das Security-Problem die CVE-ID CVE-2023-48121 vergeben und misst ihm einen hohen Schweregrad (CVSSv3: 8.2/10) bei. Mehr Informationen enthält ein ausführlicher Artikel des deutschen Entdeckers Joern, in dem er das Problem erläutert. So tauscht die App mit dem Gerät auf TCP-Port 9010 verschlüsselte XML-Steuernachrichten aus. Da das Gerät jedoch auch unverschlüsselte Kommandos entgegennimmt, können Angreifer ohne vorherige Anmeldung Kommandos auf dem Gerät absetzen und so etwa Live-Bilder von einer Überwachungskamera abrufen. Auch Ezviz und andere Hersteller betroffen Die Hikvision-Tochter Ezviz – an die Joern zunächst die Lücke gemeldet hatte – hat einen fast wortgleichen Sicherheitshinweis für vier ihrer Kameras veröffentlicht. Hier heißt das betroffene Modul jedoch "Direct Connection". Ein Firmwareupdate ist auch für Besitzer von Ezviz-Kameras vonnöten. Hikvision vermarktet Überwachungstechnologie nicht nur unter eigenen Namen und der Consumer-Tochter Ezviz, sondern tritt auch als OEM (Original Equipment Manufacturer) für eine Vielzahl anderer Marken auf. So sind etwa die preisgünstigen Kameras der Marke Annke tatsächlich ebenfalls Hikvision-Fabrikate, wie ein Blick auf die MAC-Adresse zeigt. Ob OEM-Produkte von der Sicherheitslücke betroffen sind, ist derzeit noch unklar. Neben Sicherheitslücken in seinen Produkten fiel Hikvision in jüngerer Vergangenheit durch seine weitreichende Unterstützung für die chinesische Regierung auf. So rüstet der Hersteller eine chinesische Hochschule mit Technik aus, die Studierende automatisch beim Fasten erwischen und somit helfen soll, die muslimische Minderheit im Land zu unterdrücken. In den Vereinigten Staaten ist Hikvision gar von Sanktionen betroffen. (cku) Zur Startseite

weiterlesen: RSS Quelle öffnen