Geschrieben von Muad'Dib am 12.09.2019 um 13:53:
Updates verfügbar: Internetradios von Telestar erlaubten FernzugriffWeb-Radios von Telestar-Digital, die hierzulande in vielen Elektronikmärkten verkauft werden, weisen zwei schwere Lücken auf. Ein Firmware-Update behebt sie.
Mehrere Internetradio-Modelle des deutschen Herstellers Telestar-Digital GmbH sind über zwei Sicherheitslücken sowohl lokal als auch aus der Ferne angreifbar. Über eine von ihnen könnten sich Angreifer Root-Zugriff zum eingebetteten Linux (BusyBox) auf den Geräten verschaffen. Die zweite ermöglicht das Fernsteuern der Geräte mittels speziell präparierter HTTP-Requests sowie das Mitlesen von Befehlen zum Zweck des Reverse Engineerings.
Für beide Lücken stehen Sicherheitsupdates des Herstellers bereit. Die Sicherheitsforscher vom Vulnerability Laboratory der Firma Evolution Security, die die Lücken entdeckt haben, stufen diese als kritisch ein und raten zum zügigen Aktualisieren. Da sie Proofs-of-Concept in Gestalt schriftlicher Schritt-für-Schritt-Exploit-Anleitungen und eines Videos veröffentlicht haben, besteht die Gefahr von Angriffen in freier Wildbahn in naher Zukunft.
Von beiden Lücken betroffen sind die folgenden Internetradio- beziehungsweise Multifunktions-Modelle von Telestar:
Dabman D10, i30 Stereo,
Imperial i110, i150, i200, i200-cd, i400, i450, i500-bt, i600 und
Bobs Rock Radio (ein Imperial-Modell, das vom Internetradio-Sender "RADIO BOB!" angeboten wird).
Firmware-Update verfügbar
In einem Blogeintrag auf der Website des Vulnerability Laboratory beschreiben die Forscher beide Lücken im Detail und erklären darüber hinaus auch, wie Gerätebesitzer ein Update vornehmen können.
Dazu müssen sie das Gerät zunächst auf Werkseinstellungen zurücksetzen und dann zunächst die gewünschte Sprache auswählen. Nach einmaligem Aus- und wieder Einschalten sollen sie ins Netzwerk-Setup wechseln und dort auf den Hinweis warten, dass neue Software bereitsteht. Nach dem Drücken auf "OK" sollte das Update beginnen; die Firmware TN81HH96-g102h-g103**a*-fb21a-3624 ist abgesichert.
Potenzielle Einfallstore für Schadcode
Die erste Lücke in Gestalt der bereits erwähnten Zugriffsmöglichkeit als Root-User (CVE-2019-13473) basiert laut Blogeintrag auf einem undokumentierten, permanent aktiven Telnet-Service (telnetd) der BusyBox. Der ist offenbar extrem schlecht gesichert: Den Forschern gelang der Login als "root" mit korrektem Passwort mittels automatisiertem Brute-Force nach eigenen Angaben innerhalb von rund zehn Minuten.
Im Video demonstrieren die Forscher die erste Lücke – und auch den Update-Vorgang.
Die zweite Lücke (CVE-2019-13474) betrifft den so genannten AirMusic-Service, der es mittels "AirMusic Control"-Apps für iOS und Android ermöglicht, die Internetradios via Smartphone zu bedienen. Laut Blogeintrag werden Befehle an die Radios unverschlüsselt via HTTP verschickt und können somit problemlos mitgelesen und analysiert werden. Vor allem aber erfordere das anschließende Senden eigener Befehle keinerlei Authentifizierung seitens eines Angreifers.
Schlimmstenfalls könnten beide Sicherheitslücken ausgenutzt werden, um Schadcode auf die Internetradios zu schleusen und sie beispielsweise zu Zombies in einem IoT-Botnetz zu machen. Somit sollten Nutzer den Rat der Forscher befolgen und die (für IoT-Geräte keineswegs selbstverständliche) Update-Möglichkeit nutzen.
(ovw)
Quelle: https://heise.de/-4519870