Überwachungskameras sollen einem das Gefühl von Sicherheit geben und mögliche Gefahren abwehren. Der Nutzer schenkt ihnen Vertrauen, wenn er sie am oder sogar im Haus installiert. Bei einem Google Nest-Kamera-Modell sollte man vor der Nutzung allerdings die Firmware prüfen.
Einige Nest-Kameras lassen sich von Angreifern übernehmen. Verantwortlich dafür sind gleich acht Sicherheitslücken, die derzeit einen erfolgreichen Angriff ermöglichen. Technisch bündelt das „Cam IQ“-Tool Gesichtserkennung, Android sowie Google Assistant in einem Produkt.
Nest-Kamera anfällig für Brute-Force-Attacken
Zwei der acht Lücken werden mit 9.0 und 8.2 auf der CVSS-Skala als besonders kritisch eingestuft. Einmal handelt es sich um eine Brute-Force-Anfälligkeit beim Koppeln im Gerät (Weave PASE). Der Bug wird mit der Kennung CVE-2019-5035 gelistet.
Ausgenutzt wird die Lücke durch das Senden von speziell manipulierten Weave-Paketen bei der Kopplung. So ein Angriff kann zu einer vollständigen Übernahme des Geräts führen. Gravierend fällt dabei aus, dass sich der Kopplungs-Code des Geräts selbst bei einem Neustart nicht ändert.
Der zweite kritische Fehler (CVE-2019-5040) betrifft eine „Weave DecodeMessageWithLength“-Anfälligkeit. Dabei kann der Angreifer ein kleines Datenpaket senden und erhält Zugriff auf bereits vorhandene Dateninhalte, da der Speicher nicht ausreichend gelöscht wird. Dieser Inhalt kann Hackern für einen erfolgreichen Angriff bereits ausreichen.
Die anderen sechs Bugs sind weniger kritisch, stellen insgesamt aber ebenfalls mögliche Einfallstore für Angreifer dar. Auch hier geht die Gefahr vom Weave-Protokoll aus, dass zum Koppeln und Anmelden mit anderen Nest-Geräten verwendet wird.
Patch steht bereit
Entdeckt wurden die Bugs von den Cisco Talos Mitarbeitern Claudio Bozzato und Lilith Wyatt. Betroffen ist die Kamera Nest Labs IQ Indoor mit der Software-Version 4620002. Sollten Sie über diese Nest-Kamera verfügen, dann gibt es zum Glück eine einfache Lösung: Installieren Sie schnellstmöglich den bereit gestellten Patch.
