Onderzoeker vindt lek in slimme vaatwasser Miele
Beveiligingsonderzoeker Jens Regel heeft in een slimme vaatwasser van Miele een kwetsbaarheid ontdekt waardoor een aanvaller vertrouwelijke informatie kan achterhalen om voor verdere aanvallen te gebruiken en een beveiligingsupdate van Miele is nog niet beschikbaar.
Dat maakte Regel via de Full Disclosure-mailinglist bekend. De PG 8528-vaatwasser beschikt over een webserver die via poort 80 benaderbaar is. Volgens Regel is de webserver kwetsbaar voor een pathtraversal-aanval. Een aanvaller zonder inloggegevens kan zodoende toegang tot mappen en bestanden krijgen waar hij eigenlijk geen toegang toe zou moeten hebben. Verkregen informatie is vervolgens voor toekomstige aanvallen te gebruiken, zo stelt Regel.
De onderzoeker ontdekte het probleem op 16 november vorig jaar. Op 3 december stuurde hij de gegevens naar Miele. Ondanks herhaaldelijke verzoeken wanneer er een update zou verschijnen kreeg Regel geen antwoord. Daarop heeft hij nu zijn bevindingen openbaar gemaakt.
Reacties (22)
Een lek in een vaatwasser, klinkt toch vrij ouderwets :-)
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Relevant:
CIA Chief: We’ll Spy on You Through Your Dishwasher: https://www.wired.com/2012/03/petraeus-tv-remote/
CIA Chief: We’ll Spy on You Through Your Dishwasher: https://www.wired.com/2012/03/petraeus-tv-remote/
Door Anoniem: Een lek in een vaatwasser, klinkt toch vrij ouderwets :-)
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Heeft geen enkele meerwaarde. De meeste vaatwassers hebben een mogelijkheid voor "uitgestelde start" zodat ie pas aan gaat als je gaat slapen en dat is een handige optie.
Wij als gezin hebben wel een vaatwasser en ik kan 'm aanbevelen. Je verzamelt afwas voor 1 dag en zet 'm aan als je gaat slapen. 's ochtends is alles schoon en droog. Nieuwe modellen zijn energie en water zuinig, kun je met handafwas niet tegenop.
Wat in godsnaam is het nut van een slimme vaatwasser, anders dan de NSA helpen met het "bestrijden van terrorisme"?
Is deze soms extra sterk tegen kalk"aanslag".
Is deze soms extra sterk tegen kalk"aanslag".
Door Anoniem: Een lek in een vaatwasser, klinkt toch vrij ouderwets :-)
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Dus als je de vaat doet ben je zelf de 'slimme vaatwasser'? Ben je wel goed onderzocht op lekken? ;) :DWat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
@Anoniem 10:48; denk ook niet dat je een MEDISCHE vaatwasser thuis hebt (https://www.miele.nl/professional/grote-reinigings-en-desinfectieautomaten-560.htm?mat=10339600&name=PG_8528).
Het slimme hier in is, denk ik, dat service op afstand geleverd kan worden, iets wat in een ziekenhuisomgeving wel handig is. Voor een thuisapparaat ook wel, maar zeker minder noodzakelijk.
Het slimme hier in is, denk ik, dat service op afstand geleverd kan worden, iets wat in een ziekenhuisomgeving wel handig is. Voor een thuisapparaat ook wel, maar zeker minder noodzakelijk.
Door Anoniem: Een lek in een vaatwasser, klinkt toch vrij ouderwets :-)
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Dat vroeg ik mij dus ook al af. Statistieken is het enige wat ik me kan bedenken (los van de vraag "waarom?").
Bij de verwarming kan ik het me nog voorstellen, maar zolang je een fysieke handeling moet verrichten (vieze vaat in de vaatwasser zetten) heeft het geen echte meerwaarde.
Ik vermoed op afstand instellen/bijstellen, en rechtstreeks documenteren naar een applicatie op je PC.
(ben even te lui om de documentatie die bij dit laboratorische/medische (desinfecteer) apparaat hoort nu door te lezen)
(ben even te lui om de documentatie die bij dit laboratorische/medische (desinfecteer) apparaat hoort nu door te lezen)
27-03-2017, 12:55 door
karma4
Een path traversal?? Waarom draai je een Webserver onder root. Gewoon een gelimiteerd high privacy account gebruiken die op os niveau niet buiten de gedefinieerde container voor web access kan komen. Punt.
27-03-2017, 13:51 door
Briolet
Door Anoniem:(ben even te lui om de documentatie die bij dit laboratorische/medische (desinfecteer) apparaat hoort nu door te lezen)
Heb ik even gedaan. In de handleiding wordt met geen woord gesproken over bediening op afstand. In de specificaties wordt ook geen ethernetpoort genoemd.
Op de site hebben ze het wel over "service op afstand" en wordt wel een ethernet aansluiting genoemd voor communicatie binnen de LAN. Maar misschien is die poort alleen maar voor het aansluiten van een netwerkprinter en toegang voor een servicemonteur.
En met een elektrische aansluiting van "3 x 32-35 A" is dat inderdaad iets meer dan ik thuis kan aansluiten.
>waardoor een aanvaller vertrouwelijke informatie kan achterhalen om voor verdere aanvallen te gebruiken
Merkwaardig wie slaat er nou "grote" geheimen op in zijn vaatwasser ?
Enigste dat ik kan bedenken dat er aan vertrouwelijke informatie in zou kunnen staan is de datum/tijd van gebruik. Dat als de eigenaar bv iedere woensdag avond naar zijn vereniging gaat een hacker dit aan de gebruiksgegevens van zijn vaatwasser kan uitlezen. Dat zou interessant kunnen zijn voor een inbreker. Maar voor een hacker ?
Merkwaardig wie slaat er nou "grote" geheimen op in zijn vaatwasser ?
Enigste dat ik kan bedenken dat er aan vertrouwelijke informatie in zou kunnen staan is de datum/tijd van gebruik. Dat als de eigenaar bv iedere woensdag avond naar zijn vereniging gaat een hacker dit aan de gebruiksgegevens van zijn vaatwasser kan uitlezen. Dat zou interessant kunnen zijn voor een inbreker. Maar voor een hacker ?
Het blijkt dus NIET om een vaatwasser te gaan, maar een professionele reinigingsmachine voor laberatoria;
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het is een wasser voor in een lab, geen huishoudelijke vaatwasser.
"Slimme" huishoudapparaten kunnen gebruik maken van goedkope stroomtarieven, maar dat is hier niet aan de orde.
Deze lab-wasser moet kunnen loggen. Path-traversal in de web server is natuurlijk een beveiligingslek. Ook al weet je nu niet waar dat toe kan leiden, het is niet zoals het hoort en het is gevaarlijk. Het zou bijvoorbeeld in combinatie met een andere lek kunnen worden gebruikt.
"Slimme" huishoudapparaten kunnen gebruik maken van goedkope stroomtarieven, maar dat is hier niet aan de orde.
Deze lab-wasser moet kunnen loggen. Path-traversal in de web server is natuurlijk een beveiligingslek. Ook al weet je nu niet waar dat toe kan leiden, het is niet zoals het hoort en het is gevaarlijk. Het zou bijvoorbeeld in combinatie met een andere lek kunnen worden gebruikt.
Hierbij een nuance van bovenstaand artikel;
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
Het is maar goed dat er geen nuance komt voor artikelen bij Tweakers, want daar is ook vaak genoeg wat mis mee, maar dat neem niet weg dat een van de reaguurders daar wel een goed punt heeft:
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html?showReaction=9797333#r_9797333
Waarom is dit in de Nuance-reeks gepost? Ik mis een beetje het aspect dat genuanceerd moet worden.
Gaat het er om dat het geen gewone huis-tuin-en-keuken vaatwasser is maar een industriele? Dat vind ik eerlijk gezegd maar een klein detail en geen excuus. Juist bij professionale en medische apparatuur is veiligheid erg belangrijk. Als dit systeem al niet voldoende wordt beveiligd dan zal het met consumentensystemen nog wel slechter gesteld zijn.
Gaat het misschien om het woord "slim"? Dat vind ik namelijk ook niet onterecht gebruikt. Voor de meeste mensen betekent slim namelijk dat er een netwerkaansluiting op zit. Denk aan de "slimme meter". Van oorsprong sloeg het natuurlijk op de regeltechniek in dat apparaat, maar dat is niet waar de meeste consumenten aan denken, slim = "op afstand uitleesbaar/aanstuurbaar", en het liefst voorzien van mooie grafiekjes en metertjes. Kijk bijvoorbeeld maar naar het commentaar op security.nl (en die site heeft dan nog niet eens een echt lekenpubliek).
Naar mijn mening is het dus niet onterecht dat er wat ophef gemaakt over een "slimme" "vaatwasser" die lek is. De kern van de boodschap komt immers goed over: zelfs A-merken leveren apparatuur met onveilige software; meestal is er bij de eigenaar geen besef van wat er allemaal mogelijk is (bedoeld of onbedoeld).
Gaat het er om dat het geen gewone huis-tuin-en-keuken vaatwasser is maar een industriele? Dat vind ik eerlijk gezegd maar een klein detail en geen excuus. Juist bij professionale en medische apparatuur is veiligheid erg belangrijk. Als dit systeem al niet voldoende wordt beveiligd dan zal het met consumentensystemen nog wel slechter gesteld zijn.
Gaat het misschien om het woord "slim"? Dat vind ik namelijk ook niet onterecht gebruikt. Voor de meeste mensen betekent slim namelijk dat er een netwerkaansluiting op zit. Denk aan de "slimme meter". Van oorsprong sloeg het natuurlijk op de regeltechniek in dat apparaat, maar dat is niet waar de meeste consumenten aan denken, slim = "op afstand uitleesbaar/aanstuurbaar", en het liefst voorzien van mooie grafiekjes en metertjes. Kijk bijvoorbeeld maar naar het commentaar op security.nl (en die site heeft dan nog niet eens een echt lekenpubliek).
Naar mijn mening is het dus niet onterecht dat er wat ophef gemaakt over een "slimme" "vaatwasser" die lek is. De kern van de boodschap komt immers goed over: zelfs A-merken leveren apparatuur met onveilige software; meestal is er bij de eigenaar geen besef van wat er allemaal mogelijk is (bedoeld of onbedoeld).
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html?showReaction=9797333#r_9797333
Door Anoniem: Hierbij een nuance van bovenstaand artikel;
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
Ook opmerkelijk
Redelijk zeldzaam dat tweakers security.nl noemt.
Maar nu er wat af te zeiken valt wordt o.a. security.nl met naam en toenaam genoemd.
Voorteken van nieuwe kinnesinne vanuit tweakers naar security.nl? Concurrentiestrijd om lezertjes?
Even laten zien dat je meer middelen hebt om meerdere vaste nieuwsredacteurs te betalen?
Het blijft opmerkelijk dat het ene nieuwsmedium ineens zo duidelijk en openlijk expliciet een collega medium afzeikt op een redactionele vergissing.
Nodig?
Denk van niet.
Op de werkvloer worden dit soort apparaten gewoon vaatwassers genoemd. Dus ik snap absoluut niet waar dat politiek correcte van Tweakers vandaan komt. Daarnaast ben ik het niet eens met hun conclusie. Het gaat m.i. wel degelijk om een IoT-apparaat. Hangt zo'n vaatwasser via ethernet aan het (V)LAN om op afstand uitgelezen te worden, dan kan er contact gemaakt worden. Jammer dat niet vermeldt wordt of er ook een ssh-server o.i.d. op draaide, want dan heb je rechtstreeks toegang en is er misschien meer mogelijk.
Om nog maar eens Pieter Derks te quoten.... Als je wasmachine en je vaatwasser met elkaar praten en je weet niet waar ze het over hebben.... dan heb je een probleem
Door Anoniem: Hierbij een nuance van bovenstaand artikel;
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
Ach, de redactie van security.nl test af en toe of wij nog wel goed opletten. ;-)
Door Anoniem: Om nog maar eens Pieter Derks te quoten.... Als je wasmachine en je vaatwasser met elkaar praten en je weet niet waar ze het over hebben.... dan heb je een probleem
Blub-blub!Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
