Eine simple Path-Traversal-Schwachstelle erlaubt Unbefugten Zugriff auf sensible Ermittlungsdaten von Polizei-Bodycams und Überwachungsdrohnen weltweit. Die betroffene Software wird von Spezialeinheiten in mehreren Ländern eingesetzt.
Weltweite Betroffenheit und mangelnde Reaktion
Sicherheitsexperten von Mint Secure haben die Schwachstelle entdeckt und zunächst dem Hersteller gemeldet. Da eine Reaktion ausblieb, informierten sie anschließend Betreiber und CERTs (Computer Emergency Response Teams) weltweit, um weitere Risiken einzudämmen. Jetzt gab es dazu im Rahmen des Easterhegg des Chaos Computer Club (CCC) eine Vortrag über die Schwachstelle.
Es geht dabei um die Software „Media Relay Service“ (MRS) des israelischen Herstellers Infodraw. Diese weist eine gravierende Path-Traversal-Schwachstelle auf, die unbefugten Zugriff auf sensible Daten ermöglicht. Betroffen sind offenbar Bodycams von Spezialeinheiten, Observationstechnik und Polizei-Drohnen in zahlreichen Ländern.
Durch internetweite Scans auf dem betreffenden Port 12654 konnten die Experten dabei bereits zahlreiche anfällige Systeme identifizieren.
Die Sicherheitslücke erlaubt es Angreifern, durch einen simplen Trick auf beliebige Dateien im System zuzugreifen. Durch die Eingabe des Nutzernamens „../../../../“ im Login-Bereich können Unbefugte das Wurzelverzeichnis des Servers erreichen und dort gespeicherte Daten einsehen oder sogar löschen.
Betroffene Behörden
Konkrete Beispiele betroffener Behörden sind unter anderem die Polizei Limburg Regio Hoofdstad in Belgien, wo vermutlich ein Drohnensystem kompromittiert war, sowie die „Police Grand-Ducale“ in Luxemburg. Dort nutzt offenbar die Spezialeinheit GATO (Groupes d’appui technique opérationnel) die anfällige Software für Audio- und Videoobservation. Infografik: Smarte Sicherheitstechnik wird stärker nachgefragt
Technische Details zur Schwachstelle
Die MRS-Software dient zur Video-, Ton- und Positionsdatenverarbeitung und wird typischerweise mit Geräten der PMRS-Serie des gleichen Herstellers eingesetzt. Nach der Installation läuft ein Webserver auf Port 12654, der zwei Hauptschnittstellen (/user und /admin) bereitstellt.
Bei der Analyse fiel auf, dass ein Login mit beliebigen Nutzernamen möglich ist – ein kritischer Designfehler. In Kombination mit der Path-Traversal-Schwachstelle können Angreifer:
- Beliebige Dateien auf dem System einsehen
- Sensible Daten exfiltrieren
- Dateien löschen (Arbitrary File Deletion)
- Potenziell weitere Systeme über Active Directory-Verbindungen kompromittieren
Die Schwachstelle ist besonders brisant, da die betroffenen Systeme häufig für hochsensible Einsätze verwendet werden. Überwachungsaufnahmen von Polizeieinsätzen, verdeckten Ermittlungen oder Observationen könnten in falsche Hände geraten und sowohl die Privatsphäre von Bürgern als auch laufende Ermittlungen gefährden.
Was haltet ihr von diesem Sicherheitsvorfall? Setzt eure Organisation ähnliche Überwachungstechnologie ein, und wie steht es um deren Sicherheitsüberprüfungen? Teilt eure Erfahrungen in den Kommentaren!
- CCC deckt kritische Schwachstelle in Polizei-Überwachungssoftware auf
- Path-Traversal-Lücke ermöglicht unbefugten Zugriff auf sensible Daten
- Software ‚Media Relay Service‘ von Infodraw betroffen
- Bodycams, Observationstechnik und Polizei-Drohnen sind gefährdet
- Angreifer können beliebige Dateien einsehen, exfiltrieren oder löschen
- Spezialeinheiten in mehreren Ländern nutzen die anfällige Software
- Sicherheitslücke gefährdet laufende Ermittlungen und Privatsphäre
https://winfuture.de/news,150433.html