Sicherheitslücken im Nooie Babyphone erlauben Angreifern Zugriff auf Live-Bild und Cloud-Aufnahmen

Bitdefender-Sicherheitsforscher haben eine Reihe von Sicherheitslücken in Babyphones der Marke Nooie gefunden, die es Angreifern ermöglichen, das Live-Bild abzufangen und Schadcode auszuführen.

Es kann sehr nützlich sein, ein Babyphone in ein IoT-Konzept einzubinden. Waren Eltern vor nicht allzu langer Zeit noch auf Funkübertragungen angewiesen, können sie heute Webcams mit ihren Smartphones und anderen Geräten verbinden. Unglücklicherweise ergeben sich dadurch aber auch Sicherheitsprobleme und Herausforderungen, die nicht immer leicht zu bewältigen sind.

Von allen denkbaren Problemen, die mit dem Betrieb von Webcams einhergehen, ist der unbefugte Zugriff auf die Live-Bilder des eigenen Kindes die wohl größte Horrorvorstellung. Das macht es umso wichtiger, solche Probleme schnellstmöglich aufzuspüren und zu beheben.

In Babyphones der Marke Nooie wurden vier Sicherheitslücken in zwei verschiedenen Firmware- und Modellversionen gefunden. Diese geben Angreifern die Möglichkeit, ohne Authentifizierung auf den MQTT-Server zuzugreifen, den RTSPS-Stream abzufangen, einen Stack-basierten Pufferüberlauf zu verursachen, durch den eingeschleuster Code ausgeführt werden kann, und ohne Zugangsdaten auf den AWS Bucket zuzugreifen. Dabei ist der Zugriff auf den Live-Stream das wohl gravierendste Problem.

„Wenn der Benutzer bei normalem Gebrauch Zugriff auf den Audio- und Video-Stream der Kamera anfordert, erhält das Gerät ein Ziel, auf das der Stream hochgeladen wird“, so die Sicherheitsforscher von Bitdefender. „Ein Angreifer kann ohne Authentifizierung eine Verbindung mit dem MQTT-Server herstellen und diesen Befehl an beliebige Kameras senden und dabei einen manipulierten Server angeben“, heißt es weiter. „Die Geräte beginnen dann, ihren Datenstrom auf einen vom Angreifer kontrollierten Server hochzuladen, so dass der Angreifer das Live-Bild sehen kann.“

Aber das ist nicht das einzige Problem. Es lassen sich zudem die AWS-Zugangsdaten für eine bestimmte Kamera ausspähen. Diese können dann verwendet werden, um nicht nur auf die Uploads dieser Kamera, sondern auf den gesamten Bucket zuzugreifen. Ein Angreifer kann also eine Anfrage fälschen, so die Anmeldeinformationen für eine bestimmte Kamera erhalten und diese dann nutzen, um auf die Aufnahmen aller Kameras zuzugreifen.

Für die Nooie Cam-App wurden laut Google Play Store bereits 50.000-100.000 Installationen verzeichnet, die Anzahl der Installationen aus dem Apple Store ist nicht öffentlich zugänglich. Bitdefender hat zwar mit dem Hersteller bereits Kontakt aufgenommen, bisher wurde das Problem dort aber nicht behoben.

Im diesem Bericht der Bitdefender Labs finden Sie mögliche Abhilfemaßnahmen und eine vollständige Analyse der Sicherheitslücken.