Unverschlüsselte Passwörter setzten RLE-Windräder Angriffsrisiko aus

Eine Woche, nachdem eine CSRF-Sicherheitslücke in der Software von Windkraftanlagen der Firma XZERES bekannt geworden ist, gibt es nun eine ähnliche Neuigkeit: Die Benutzerschnittstelle (HMI) der Windkraftanlagen des deutschen Herstellers RLE International GmbH enthält einen ernstzunehmenden Bug.

Der unabhängige Forscher Maxim Rupp entdeckte diese Sicherheitslücke im HMI der Nova-Wind Turbine und setzte den Hersteller darüber in Kenntnis. RLE zeigte auf diese Mitteilung allerdings keinerlei Reaktion, daher hielt es das amerikanische ICS-CERT für notwendig, eine Infoschrift zu veröffentlichen, um die Anwender vor der gefährlichen Lücke zu warnen.

Die Schwachstelle trat auf, weil die Accountdaten der Anwender im HMI in Klartext gespeichert werden, was die Windkraftanlagen der Firma RLE zu einem attraktiven Angriffsziel macht. Verfügt er über die Authentifizierungsdaten, kann ein Cyberkrimineller jede beliebige Aktion auf dem Gerät durchführen.

„Der unabhängige Forscher Maxim Rupp hat eine Sicherheitslücke entdeckt, die mit unsicheren Accountdaten im HMI der Nova-Wind Turbine des Herstellers RLE International GmbH zusammenhängt“, schreibt das ICS-CERT in seiner Warnmitteilung. „Eine Reaktion von RLE –eine Bestätigung der Sicherheitslücke oder eine Information über den Versuch, diese zu beseitigen zum Beispiel – erfolgte nicht. Das ICS-CERT veröffentlicht die vorliegenden Mitteilung, um die Besitzer kritisch wichtiger Geräte über dieses ersthafte Problem zu informieren und sie zu warnen.“

Der von Rupp entdeckte Bug kann entfernt ausgenutzt werden, und laut Warnung des ICS-CERT macht die Ausnutzung dieser Lücke keine besonderen technischen Fähigkeiten erforderlich. Versuche des ICS-CERT, mit dem Hersteller der Windkraftanlagen in Kontakt zu treten, blieben erfolglos. „Das ICS-CERT hat viele Male versucht, sich wegen dieses ernsthaften Fehlers mit dem Anbieter in Verbindung zu setzen und hat nun unserer Politik zur Offenlegung von Sicherheitslücken folgend, diese Warnschrift veröffentlicht“, schreiben die Kämpfer wider die Internetbedrohungen. „Unsichere Accountdaten stellen ein großes Risiko für Gerätebesitzer dar. Das ICS-CERT empfiehlt dringend, sicherzustellen, dass das angreifbare Produkt nicht mit dem Internet oder irgendeinem anderen Netz verbunden ist, da diese Sicherheitslücke eine entfernte Ausnutzung ermöglicht.“

In der vergangenen Woche informierte Rupp über eine CSRF-Sicherheitslücke in der Software von Windkraftanlagen des Typs XZERES 442SR – wesentlich kleinere Geräte als die Produkte von RLE. Diese Lücke ist nicht ganz so einfach auszunutzen wie der Fehler in der Nova-Wind Turbine, doch gefährlich ist sie ebenfalls. „Eine erfolgreiche Ausnutzung dieser Schwachstelle ermöglicht es, die ID aus dem Browser zu erhalten und die ID des Default-Users zu ändern“, erklärt das ICS-CERT in seinem Warnschreiben. „Eine Ausnutzung dieser Sicherheitslücke könnte zur Deaktivierung der Energiezufuhr aller angeschlossenen Systeme führen.“

Quelle: Threatpost

Ähnliche Beiträge

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.