Anzeige

Smarte Zugangskontrollsysteme sollen die Sicherheit in Unternehmen, Fabriken und Behörden verbessern. Mittels Chipkarte hat jeder Mitarbeiter nur zu den Bereichen Zugang, die für ihn relevant sind.

Die Nutzung der Karten lässt sich protokollieren und en Detail nachvollziehen. Umso schlimmer ist es, wenn ein solches System eine Sicherheitslücke hat, so wie es offenbar bei Linear eMerge E3 der Fall ist, einem Produkt von Nortek Security & Control (NSC).

Bereits im Mai 2019 veröffentlichten Sicherheitsforscher von Applied Risk Details zu zehn Sicherheitslücken in den Linear-eMerge-E3-Produkten, von denen sechs mit einer Schwere zwischen 9,8 und 10,0 auf einer zehnstufigen Skala eingestuft wurden. Im November 2019 folgte die Veröffentlichung eines Proof of Concept. Trotzdem stellte NSC offenbar bislang keine Patches für die Sicherheitslücken zur Verfügung.

Diese Nachlässigkeit nutzen kriminelle Hacker derzeit verstärkt aus, wie ein Bericht des Firewall-Herstellers SonicWall nahelegt. Seit dem 09. Januar 2020 wird insbesondere die Sicherheitslücke CVE-2019-7256 dafür genutzt, um Schadsoftware in die Zugangssysteme einzuschleusen und diese anschließend für Denial-of-Service-Angriffe (DoS) auf andere Ziele zu nutzen. Bei CVE-2019-7256 handelt es sich um einen Fehler bei der Eingabe von Befehlen, der von Applied Risk mit dem höchstmöglichen Schweregrad bewertet wurde. Diese Sicherheitslücke kann auch von gering qualifizierten Angreifern ohne fortgeschrittene technische Kenntnisse aus der Ferne ausgenutzt werden.

Betroffen sind laut Sonic Wall insgesamt 2.375 über das Internet zugängliche Geräte, die mit der Shodan-Suchmaschine gefunden werden können. Das klingt nach nicht allzu vielen Geräten, die für einen Distributed-Denial-of-Service-Angriff (DDoS) verwendet werden können. Allerdings könnten intelligente Zugangssysteme auch als Einfallstor in die internen und weitaus sensibleren Umgebungen der betroffenen Unternehmen genutzt werden. Erst im August 2019 berichtete Microsoft, dass eine scheinbar russische Hackergruppe Internet-of-Things-Geräte (IoT) angegriffen habe, um sich so weiter in die betroffenen Systeme vorzuarbeiten. Das könnte auch den Nutzern von CVE-2019-7256 blühen, ganz davon abgesehen, dass ein gekapertes Türsystem auch andere sicherheitsrelevante Probleme mit sich bringt.

Nutzern eines betroffenen Zugangssystems wird aktuell empfohlen, das System vom Internet zu trennen, um es nicht angreifbar zu machen. Ist das nicht möglich, sollte der Zugriff auf die Geräte begrenzt werden, etwa mit einem VPN oder einer Firewall. Wünschenswert wäre ein baldiger Patch, der auch die anderen von Applied Risk beschriebenen Sicherheitslücken schließt.

www.8com.de
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Corona virus

Neuer COVID-19 Phishing-Betrug

KnowBe4 hat eine neue Art von Phishing-Betrug entdeckt. Dabei werden Personen davor gewarnt, dass sie mit einem Freund/Kollegen/Familienmitglied in Kontakt gekommen sind, welches mit dem Coronavirus infiziert ist.
Phishing

Phishing-Mails mit Corona-Bezug – Cyberkriminelle attackieren Unternehmen

Cyberkriminelle nutzen die Nachrichtenlage rund um das Coronavirus, um Malware wie Backdoors oder Spyware zu verbreiten und damit speziell Unternehmen anzugreifen, wie aktuelle Kaspersky-Untersuchungen zeigen.
Cybercrime

Home Office und die Gefahr von RDP-Attacken

Die Verlagerung der Mitarbeiter in das Home Office ist eine große Herausforderung für viele Unternehmen, doch äußerst wichtig, um die Gesundheit der Angestellten vor der Corona-Pandemie zu schützen. Jedoch muss auch ein weiterer Schutz aufrecht erhalten…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!