„Devil’s Ivy“-Angriff gefährdet Millionen Überwachungskameras

Eine Sicherheitslücke in der Open-Source-Software „gSOAP“ ist Schuld: Millionen Überwachungskameras (und auch andere Geräte und Programme), die diese Software benutzen, sollen daher nicht sicher sein – soll könnten Angreifer etwa die eigentlichen Benutzer der Kameras aussperren oder hätten Zugriff auf die Video-Daten. Mittlerweile gibt es zwar ein Update der Software, das die Sicherheitslücke schließt – allerdings müssen die Kamerahersteller dieses auch in ihre Kamera-Firmware übernehmen, bevor betroffene Kunden das Leck schließen können.

Gefunden haben die Lücke die Forscher des Sicherheits-Unternehmens Senrio in der Kamera M3004 des Herstellers Axis: Laut Senrio einer der größten Hersteller für per Internet verbundenen Überwachungskameras, die auch an öffentlichen Orten eingesetzt werden: Das Team hat eine der betroffenen Kameras zum Beispiel am Flughafen LAX in Los Angeles gefunden.

Axis hat aber schnell reagiert und die Sicherheitslücke in der Software der betroffenen Kamera-Modelle (immerhin 249 Modelle) schnell geschlossen: Anschließend hatte das Team von Senrio keine Chance mehr, mit ihrem „Devil’s Ivy“ genannten Exploit auf die Kamerabilder zuzugreifen.

Neben den 249 Kameramodellen des Herstellers Axis sind aber noch zahlreiche andere Kameras von der Sicherheitslücke betroffen: Die genutzte Open-Source Software gSOAP ist laut Senrio bereits dieses Jahr schon 30.000 Mal heruntergeladen worden – die Firma Genivia, die das Projekt betreut, hat mittlerweile aber einen Patch zur Verfügung gestellt.

Wer selber Überwachungskameras in Verbindung mit einem Smart-Home einsetzt, sollte daher nicht nur zeitnah neue Firmware-Updates einspielen, sondern die Geräte auch vom öffentlichen Internet abtrennen: Wenn die Kameras nur in einem getrennten Netzwerk-Bereich hinter einer Firewall betrieben werden, sind die Kameras gegen Angriffe von außen relativ sicher.