Kritische Sicherheitslücken: Einige Unternehmen reagieren nicht auf BSI-Warnung

0
535
Von den als AMNESIA:33 veröffentlichten Sicherheitslücken sind Millionen Geräte betroffen, in privaten Haushalten, in Unternehmen und in Kritischen Infrastrukturen. (Foto: sdecoret, stock.adobe.com)

Gestern veröffentlichten IT-Sicherheitsexperten eine Untersuchung über 33 Sicherheitslücken in häufig verwendeten Netzwerk-Stacks. Betroffen von “AMNESIA:33” sind insbesondere netzwerkfähige Geräte wie Kameras aber auch Medizingeräte in Krankenhäusern und Sensoren in der Industrie. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte sich schon vor Veröffentlichung an betroffene Unternehmen gewandt. Nicht alle haben reagiert.

Das BSI ist nach eigenen Angaben am 2. September von der amerikanischen Partnerbehörde CISA gebeten worden, bei einem weltweiten Prozess zum Schließen der Lücken mitzuwirken. Die Deutsche Cyber-Sicherheitsbehörde hat die Federführung für die Region Europa übernommen und wird von anderen europäischen CERTs unterstützt.

Das BSI habe 31 Unternehmen, davon 14 in Deutschland kontaktiert. Die, die sich zurückgemeldet hatten, erhielten entsprechend Unterstützung. “Dennoch gibt es eine Anzahl von Unternehmen, die nicht reagiert haben”, moniert BSI-Präsident Arne Schönbohm. Dabei handele es sich um teils kritische Schwachstellen. “Betroffen sein können Unternehmen, darunter auch Betreiber Kritischer Infrastrukturen sowie Privatanwenderinnen und -anwender von IoT-Geräten.”

Millionen Geräte betroffen

Das Forscherteam vom US-amerikanischen Unternehmen Forescout hatte mit automatisierten Software-Tests gezielt nach Schwachstellen in Open Source Netzwerk-Stacks gesucht. Diese werden in zahlenreichen Internet-of-Things-Produkten verwendet. Die Liste reicht von Kameras, Sensoren und intelligenten Leuchtmitteln, über Drucker, Switches und WLAN-Access-Points bis zu Gebäudeautomationssystemen, Zugangskontroll-Terminals und industriellen Steuerungssysteme. Insgesamt könnten Produkte von mehr als 150 Herstellern betroffen sein.

In den Geräten sind die Netzwerk-Stacks für die Bearbeitung der Netzdaten zuständig. Die 33 Schwachstellen betreffen die Implementierung des Internet-Protokolls TCP/IP. Angreifer könnten die Lücken nutzen, um bösartige Datenpakete einzuschleusen, Systeme durch Überlastungsangriffe in die Knie zu zwingen oder vertrauliche Informationen abzugreifen. Vier der Lücken erlauben die unbefugte Ausführung von Code aus der Ferne. So könnten Geräte übernommen werden.

Kommentieren Sie den Artikel

Please enter your comment!
Please enter your name here