Menü
Alert!
Security

Kritische Lücken in FreeRTOS gefährden Embedded-Systeme und IoT-Geräte

Das Echtzeitbetriebssystem FreeRTOS und seine Abkömmlinge AWS FreeRTOS und WHIS OpenRTOS/SafeRTOS sind angreifbar. Sicherheitspatches sind zum Teil schon da.

Von
vorlesen Drucken Kommentare lesen 40 Beiträge
Kritische Lücken in FreeRTOS gefährden Embedded-Systeme und IoT-Geräte

(Bild: geralt)

Im Open-Source-Echtzeitbetriebssystem FreeRTOS finden sich 13 Sicherheitslücken. Setzen Angreifer an den Schwachstellen an, könnten sie Geräte lahmlegen (DoS-Attacke), Informationen abziehen oder sogar Schadcode aus der Ferne ausführen.

FreeRTOS gibt es für verschiedene Mikrocontroller und es ist mit vielen Prozessorarchitekturen kompatibel. Das System kommt beispielsweise neben Fitness-Trackern, Türschlössern und weiteren IoT-Geräten auch in Form von etwa Sensoren in kritischen Infrastrukturen zum Einsatz. Durch die Sicherheitslücken sind somit unzählige Geräte und Systeme angreifbar.

Gefährdete Versionen

Im Detail finden sich die Schwachstellen im TCP/IP-Stack des Systems, schildern Sicherheitsforscher von Zimperium in einem Blog-Beitrag. Neben FreeRTOS bis einschließlich Version 10.0.1 sollen auch die Varianten AWS FreeRTOS bis einschließlich Ausgabe 1.3.1 und WHIS OpenRTOS und SafeRTOS mit WHIS Connect Middleware TCP/IP-Komponenten gefährdet sein.

Zimperium zufolge wissen die betroffenen Anbieter über die Lücken Bescheid. AWS FreeRTOS ist mittlerweile in der abgesicherten Version 1.3.2 erschienen. Auch WHIS soll an einer gepatchten Ausgabe arbeiten. In FreeRTOS haben die Entwickler die Lücken in der Ausgabe 10.1.0 geschlossen.

Update-Problematik

Weitere Details zu den Schwachstellen und möglichen Angriffsszenarien wollen die Sicherheitsforscher erst im November veröffentlichen. Damit wollen sie Betroffenen Zeit zum Patchen geben.

Da das Echtzeitbetriebssystem aber auf unzähligen Embedded-Systemen und IoT-Geräten läuft, ist es utopisch, dass alle Anbieter die Sicherheitsupdates innerhalb von einem Monat nach Bekanntwerden der Lücken auf allen betroffenen Geräten installiert haben. Aufgrund des fragmentierten Einsatzes ist es zudem fraglich, ob das jemals flächendeckend der Fall sein wird. (des)