Die Sicherheitsforscher von Team82, der Forschungsabteilung des Spezialisten für die Sicherheit von cyberphysischen Systemen (CPS) Claroty, haben insgesamt zehn Schwachstellen in der Reyee-Cloud-Management-Plattform des chinesischen Netzwerkanbieters Ruijie Networks entdeckt. Dadurch war es Angreifern möglich, auf jedem mit der Cloud verbundenen Gerät Code auszuführen und damit Zehntausende Geräte zu kontrollieren. Darüber hinaus haben die Sicherheitsforscher einen Angriff entwickelt, bei dem ein Gerät in unmittelbarer Nähe über die Cloud ausgenutzt werden kann, um beliebigen Code darauf auszuführen und sich Zugang zum internen Netzwerk zu verschaffen. Die Schwachstellen wurden dem Hersteller gemeldet, der sie mittlerweile behoben hat.
Ruijie hat sich in den letzten Jahren zu einem bedeutenden globalen Anbieter von Netzwerklösungen entwickelt. Das Unternehmen beschäftigt weltweit mehr als 8.000 Mitarbeitende und ist in über 60 Ländern vertreten. Die Netzwerkgeräte werden vielfach in Hotels, Universitäten, Flughäfen und Einkaufszentren eingesetzt. Ruijie bietet seinen Kunden die Möglichkeit, Geräte und Netzwerke aus der Ferne zu verwalten. Dies geschieht über ein Cloud-basiertes Web-Management-Portal, das registrierten Nutzern zugänglich ist. Über diese Plattform können Nutzer auch ihre Geräte konfigurieren und deren Betrieb überwachen.
Den Sicherheitsforschern von Team82 gelang es, die entsprechende Authentifizierung zu knacken. Wenn man die Seriennummer eines Geräts kennt, kann man dessen MQTT-Benutzername/Passwort-Paar generieren. Das Problem dabei ist, dass die Seriennummer kein starker Identifikator ist, da sie in der Regel einem sequenziellen Muster folgt. Erschwerend kommt hinzu, dass Benutzer teilweise die Seriennummern der Geräte (auch unbeabsichtigt) weitergeben. Dadurch werden jedoch die Anmeldedaten der Geräte preisgegeben. So finden sich auf YouTube einige Unboxing-Videos von Ruijie-Access-Points, in denen die Seriennummern zu erkennen sind. Sobald Angreifer über eine Seriennummer verfügen, können sie ein einfaches Python-Skript implementieren, um sich mit dem MQTT-Broker von Ruijie zu verbinden und das Gerät zu authentifizieren. Auf dieser Grundlage konnten die Experten nicht nur die Kommunikation zwischen dem Cloud-Management und allen verbundenen Geräten abhören, sondern auch über den RCE-as-a-Service von Ruijie Code auf jedem mit der Cloud verbundenen Gerät ausführen.
Sesam, öffne dich
Die Ausführung von Code auf allen mit der Cloud verbundenen Geräten (immerhin rund 50.000 Devices) ist zwar ziemlich beeindruckend, aber nicht unbedingt das gewünschte Ergebnis eines Angriffs: Die Ausnutzung dieser Schwachstelle in diesem Umfang könnte den Hersteller alarmieren, der dann rasch eine Behebung der für diesen Exploit herausgeben würde. Zudem wäre ein solcher Angriff nur aus disruptiven Gründen oder zum Aufbau eines Botnets sinnvoll. In aller Regel wählen Cyberkriminelle einen gezielteren, unauffälligeren Ansatz. Team82 hat einen entsprechenden Angriff entwickelt und ihn „Open Sesame“ genannt: Hierzu müssen sich Angreifer in der Nähe eines Ruijie-Access-Points aufhalten, dessen Beacon-Nachrichten abfangen und die darin enthaltene Seriennummer des Geräts ausspähen. Durch die Kombination der identifizierten Schwachstellen, insbesondere in der Implementierung des MQTT-Kommunikationsprotokolls von Ruijie, können sich Angreifer als die Cloud ausgeben und eine Nachricht an das Zielgerät senden. Cyberkriminelle könnten auf diese Weise beispielsweise einen bösartigen Betriebssystembefehl senden, den das Gerät ausführt, um eine Reverse Shell auf dem Zugangspunkt zu erstellen und den Zugriff auf das interne Netzwerk des Geräts freizugeben.
„Nicht nur Access-Points, sondern auch deren Cloud-Management kann als Einstiegspunkt für Angreifer dienen“, erklärt Thorsten Eckert, Regional Vice President Sales Central von Claroty. „Unsere Sicherheitsforscher haben dies einmal mehr unter Beweis gestellt. Glücklicherweise konnten die Schwachstellen mittlerweile behoben und dadurch die Sicherheit für Tausende Anwender verbessert werden. Dennoch muss allen klar sein, dass Angreifer in zahlreiche Internet-of-Things-Geräte wie drahtlosen Zugangspunkte, Router und andere vernetzte Geräte relativ leicht eindringen und so viel tiefer gehende Netzwerkangriffe durchführen können. Hierauf müssen Sicherheitsteams vorbereitet sein.“
Info: Weitere Informationen, Hintergründe, ein Proof-of-Concept-Video und technische Details finden sich im entsprechenden Blog-Beitrag von Claroty.
#Claroty
