Alert!

Sicherheitspatch: Philips-Hue-Lampe als Sprungbrett in Netzwerke

Aufgrund einer Sicherheitslücke im ZigBee-Protokoll könnten Angreifer Hue-Lampen als Einfallstor in Netzwerke missbrauchen.

Lesezeit: 1 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen 50 Beiträge

(Bild: Artur Szczybylo/Shutterstock.com)

Von

Die smarten Hue-Lampen von Philips sind verwundbar und könnten Angreifern den Zugang zu Netzwerken ebnen. Damit das klappt, müssen Opfer aber mitspielen. Ein Sicherheitsupdate ist verfügbar.

Die Sicherheitslücke (CVE-2020-6007) findet sich im Funkprotokoll ZigBee, berichten Sicherheitsforscher von Check Point in einem Beitrag. Ist eine Attacke erfolgreich, könnten Angreifer durch die Schwachstelle in Netzwerke schlüpfen und von dort aus weitere Geräte attackieren. Die Lücke ist mit dem Bedrohungsgrad "hoch" eingestuft. Die Firmware 1935144040 ist abgesichert. Eine Installation sollte automatisch stattfinden.

Damit ein Übergriff klappt, muss ein Angreifer bereits Zugriff auf eine Hue-Lampe haben, um eine modifizierte Firmware installieren zu können. Wie das im Detail gelingen kann, führen die Sicherheitsforscher nicht aus.

Ist das gegeben, könnten Angreifer die Lampe in der Hue-App des Opfers als nicht erreichbar erscheinen lassen. Nun muss das Opfer mitspielen und die Lampe aus der App löschen, um sie anschließend wieder hinzuzufügen. An diesem Punkt könnten Angreifer die Lücke ausnutzen, um in der Hue-Bridge einen Speicherfehler (heap-based buffer overflow) auslösen. Anschließend ist das Ausführen von Schadcode möglich und Angreifer könnten sich im Netzwerk ausbreiten und weitere Geräte attackieren.

In einem Video demonstrieren die Sicherheitsforscher die Vorgänge. Nachdem sie sich im Netzwerk befinden, nutzen sie die EternalBlue-Lücke aus, um einen Computer zu attackieren. Sie geben an, Philips im November 2019 über die Sicherheitslücke informiert zu haben. Der abgesicherte Firmware für Philips Hue Bridge ist seit Mitte Januar verfügbar.

Hack Philips Hue (Quelle: Check Point Software Technologies, Ltd.)

(des)