In zahlreichen Geräten grosser Anbieter wie Cisco, DD-WRT oder Linksys finden sich Hardware-Bausteine von Broadcom. Diese sollen deutliche Sicherheitslücken im Software Development Kit (SDK) aufweisen, wie das Security-Unternehmen IoT Inspector berichtet. Ein Expertenteam des Unternehmens deckte demnach soeben Schwachstellen auf, die sich seit über zehn Jahren wie ein roter Faden durch auf Broadcom aufbauende Produkte ziehen, und für Hacker eine willkommene verwundbare Flanke bieten sollen.
"Neben der Problematik der nicht überwachten Supply Chain – also der Nutzung von Hardware ohne vorheriger Risiko-Überprüfung – fällt hier auf, wie schwerwiegend die Folgen von Copy-Paste-Engineering sein können: Diese Schwachstellen werden – obwohl Broadcom nach unseren Ergebnissen bereits 2011 einen Patch veröffentlichte – immer wieder in Produkte führender Hersteller verbaut, die auf eine fehlerhafte Version des SDK aufbauen", analysiert Florian Lukavsky, Geschäftsführer von IoT Inspector. Das Unternehmen bietet eine umfassende Plattform zur Analyse von Device-Firmware und deckt regelmässig Schwachstellen bei Komponenten- oder Geräteherstellern auf. Meist erfolgen diese Security-Checks im Auftrag der Hersteller und Inverkehrbringer sowie zu wissenschaftlichen Zwecken.
Von den Sicherheitslücken betroffen sind demnach unter anderem die Cisco-Router der Small Business Serie RV110W, RV130, RV130W und RV215W, die tausendfach bei Unternehmen im Einsatz sind. Diese ermögliche über die Universal Plug-and-Play (UPnP)-Funktion die Fernsteuerung des Routers und eine DoS-Attacke (Denial of Service). Die Schwachstelle wird unter der CVE-2021-34730 mit einer Risikobewertung von 9.8 (kritisch) für Cisco geführt. Problematisch sei die Identifikation der betroffenen Geräte – bis heute habe Broadcom keine Informationen darüber gegeben, welche Versionen der SDK bestroffen seien. "Die wahre Schwachstelle liegt in der Supply Chain. Gerätehersteller nutzen Bausteine von Fremdherstellern und verbauen diese ohne Prüfung der Quellcodes. Das muss sich schnell ändern, um Transparenz zu schaffen und Hacker soweit wie möglich in die Defensive zu drängen", betont Florian Lukavsky von IoT Inspector.
Eine Ursache solcher Schwachstellen sei die Nutzung bestehender Software Development Kits, die lediglich auf neue Geräte umgeschrieben würden. Dabei liege in der Tiefe des Codes ein gewaltiges Potential für Schäden. "Schwachstellen wie diese verstecken sich oft tief im Code und fallen bei der Entwicklung von Komponenten wie WLAN-Routern kaum auf. So potenziert sich jedoch die damit verbundene Gefahr, während die Nachverfolgbarkeit der Lücken erschwert wird", so Lukavsky. Die IoT Inspector-Plattform sei in der Lage, zahlreiche Schwachstellen bei einer automatisiert ablaufenden Firmware-Prüfung aufzufinden. Die Beseitigung liege dann wieder beim jeweiligen Hersteller bzw. Inverkehrbringer – in der laufenden Fertigung wie auch für bestehende Geräte im Markt, die eines Patches bedürften. Aber selbst diese könnten Risiken bergen. Nicht selten würden mit einem ungeprüften Patch neue Schwachstellen gebildet, so IoT Inspector.
