Realtek-Chips: Kritische Sicherheitslücken betreffen mehr als 65 Hardware-Hersteller

Hardware-Hersteller hinterfragen kaum die Lieferkette

[datensicherheit.de, 16.08.2021] Die Liste der durch die Realtek-Sicherheitslücken betroffenen Hardware-Hersteller sei lang: „AsusTEK, Belkin, D-Link, Edimax, Hama, Logitec, Netgear und viele weitere rüsten ihre WLAN-Devices mit verwundbaren ,Software Development Kits‘ (SDKs) von Realtek aus“, berichtet IoT Inspector in seiner aktuellen Stellungnahme und warnt: Eine solche Schwachstelle innerhalb des „Realtek RTL819xD“-Moduls erlaube Hackern den Vollzugriff auf das Gerät, installierte Betriebssysteme und weitere Netzwerkgeräte.

IoT Inspector stellt Plattform Hardware-Herstellern und Nutzern für kostenlosen Schnellcheck bereit

„Wir haben diese Schwachstelle, die Hunderttausende von Geräten umfasst, gefunden und analysiert. Realtek wurde von uns benachrichtigt und hat sofort reagiert und ein passendes Patch zur Verfügung gestellt.“ Hersteller, welche verwundbare Wi-Fi Module einsetzen, seien dringend dazu angehalten, ihre Geräte zu überprüfen und ihren Anwendern Sicherheitspatches zur Verfügung zu stellen, so Florian Lukavsky, Geschäftsführer von IoT Inspector.
Diese Security-Plattform untersucht nach eigenen Angaben die Firmware von IoT-Geräten wie bspw. Routern, IP-Kameras oder Druckern. Das Unternehmen habe in der Vergangenheit bereits eine Vielzahl von koordinierten Sicherheits-Advisories mit betroffenen Herstellern veröffentlicht und so mögliche Hacker-Attacken vereitelt. Für diesen besonderen Fall stellt IoT Inspector demnach nun seine Plattform potenziell betroffenen Herstellern und Nutzern für einen kostenlosen Schnellcheck zur Verfügung. Nur durch eine Analyse der jeweiligen Firmware könne ermittelt werden, ob noch verwundbare Komponenten eingesetzt werden.

Unkontrollierte Hardware-Lieferkette für Hunderttausende Geräte

Die von Realtek zugelieferten Chips würden von nahezu allen bekannten Herstellern verwendet und seien etwa in VoIP- und Wireless-Routern, Repeatern, IP-Kameras und smarten Beleuchtungssteuerungen zu finden. Eine detaillierte Liste der betroffenen Geräte sei im „Advisory“ von IoT Inspector enthalten, möglich seien jedoch noch weitere Anwendungen. Für einen erfolgreichen Exploit müsse sich ein Angreifer für gewöhnlich im selben Wi-Fi-Netzwerk befinden. Fehlerhafte ISP-Konfigurationen exponierten jedoch auch eine Vielzahl von verwundbaren Geräten direkt ins Internet. Ein erfolgreicher Angriff würde die vollständige Kontrolle des Wi-Fi-Moduls erlauben ebenso wie einen Root-Zugriff auf das Betriebssystem des eingebetteten Geräts.
Insgesamt seien in dem Chipsatz ein Dutzend Schwachstellen gefunden worden. „Es gibt derzeit noch viel zu wenig Sicherheitsbewusstsein für Geräte aus diesen Kategorien – weder bei den Nutzern noch bei den Herstellern, die in ihrer ,Supply Chain‘ ungeprüft auf Bausteine von anderen Herstellern setzen. Diese Komponenten oder Produkte werden so zum unkalkulierbaren Risiko”, unterstreicht Lukavsky. Hersteller seien daher dringend dazu angehalten, Richtlinien für „IoT Supply Chain Security“ umzusetzen.

IoT-Hardware wie Router oder IP-Kameras im Visier

Zu diesem Ergebnis komme auch die aktuelle Studie von Forrester, „The State of IoT Security – 2021“: Nach Hacks von Unternehmenswebsites rangierten Angriffe auf IoT-Devices wie Router, IP-Kameras und viele mehr auf dem zweiten Platz bei Angriffen. Komplexe Patch-Richtlinien in Unternehmensnetzen und schwer zugängliche Geräte-Umgebungen blockierten den rechtzeitigen Schutz. Da eine physische Benutzeroberfläche in Form eines „Screens“ fehle, falle zudem der Bedarf kaum auf – anders als bei einem PC, bei dem die Systeme nötige Patches und Updates melden könnten.
Laut Forrester verfügten nur 38 Prozent der Sicherheitsentscheider in den Unternehmen weltweit über ausreichende Richtlinien und Tools zum korrekten Management von IoT-Devices. „Wir finden täglich neue Sicherheitslücken, die meisten davon im direkten Auftrag der Hersteller. Das IT-Sicherheitsdenken muss alle Geräte einbeziehen, die in Netzwerken eingebunden sind, regelmäßige Prüfungen und Patches umfassen – und selbst ein Patch ist manchmal sogar die Quelle für eine neue Lücke. Nur wenige betroffene Unternehmen reagieren so schnell und gründlich wie Realtek. Jetzt sind allerdings auch die Hersteller gefragt, verwundbare Realtek-Komponenten in ihren Geräten zu patchen, und die Nutzer, ihre ,Devices‘ zu überprüfen und nötigenfalls zu aktualisieren“, resümiert Lukavsky.

Weitere Informationen zum Thema:

datensicherheit.de, 04.10.2019
IoT Inspector: Firmware von IoT-Geräten auf dem Prüfstand

IoT Inspector, 16.08.2021
Advisory: Multiple Schwachstellen in Realtek SDK an Hunderttausende Geräte über Supply Chains weitergegeben

/FORRESTER, Merritt Maxim & Elsa Pikulik, 09.07.2021
Report / The State Of IoT Security, 2021