Onderzoeker vindt lek in slimme vaatwasser Miele
Beveiligingsonderzoeker Jens Regel heeft in een slimme vaatwasser van Miele een kwetsbaarheid ontdekt waardoor een aanvaller vertrouwelijke informatie kan achterhalen om voor verdere aanvallen te gebruiken en een beveiligingsupdate van Miele is nog niet beschikbaar.
Dat maakte Regel via de Full Disclosure-mailinglist bekend. De PG 8528-vaatwasser beschikt over een webserver die via poort 80 benaderbaar is. Volgens Regel is de webserver kwetsbaar voor een pathtraversal-aanval. Een aanvaller zonder inloggegevens kan zodoende toegang tot mappen en bestanden krijgen waar hij eigenlijk geen toegang toe zou moeten hebben. Verkregen informatie is vervolgens voor toekomstige aanvallen te gebruiken, zo stelt Regel.
De onderzoeker ontdekte het probleem op 16 november vorig jaar. Op 3 december stuurde hij de gegevens naar Miele. Ondanks herhaaldelijke verzoeken wanneer er een update zou verschijnen kreeg Regel geen antwoord. Daarop heeft hij nu zijn bevindingen openbaar gemaakt.
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
CIA Chief: We’ll Spy on You Through Your Dishwasher: https://www.wired.com/2012/03/petraeus-tv-remote/
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Heeft geen enkele meerwaarde. De meeste vaatwassers hebben een mogelijkheid voor "uitgestelde start" zodat ie pas aan gaat als je gaat slapen en dat is een handige optie.
Wij als gezin hebben wel een vaatwasser en ik kan 'm aanbevelen. Je verzamelt afwas voor 1 dag en zet 'm aan als je gaat slapen. 's ochtends is alles schoon en droog. Nieuwe modellen zijn energie en water zuinig, kun je met handafwas niet tegenop.
Is deze soms extra sterk tegen kalk"aanslag".
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Het slimme hier in is, denk ik, dat service op afstand geleverd kan worden, iets wat in een ziekenhuisomgeving wel handig is. Voor een thuisapparaat ook wel, maar zeker minder noodzakelijk.
Wat moet ik mij voorstellen bij een "slimme" vaatwasser en wat zou daar de meerwaarde van zijn ?
Wij hebben niet eens een vaatwasser.
Dat vroeg ik mij dus ook al af. Statistieken is het enige wat ik me kan bedenken (los van de vraag "waarom?").
Bij de verwarming kan ik het me nog voorstellen, maar zolang je een fysieke handeling moet verrichten (vieze vaat in de vaatwasser zetten) heeft het geen echte meerwaarde.
(ben even te lui om de documentatie die bij dit laboratorische/medische (desinfecteer) apparaat hoort nu door te lezen)
Heb ik even gedaan. In de handleiding wordt met geen woord gesproken over bediening op afstand. In de specificaties wordt ook geen ethernetpoort genoemd.
Op de site hebben ze het wel over "service op afstand" en wordt wel een ethernet aansluiting genoemd voor communicatie binnen de LAN. Maar misschien is die poort alleen maar voor het aansluiten van een netwerkprinter en toegang voor een servicemonteur.
En met een elektrische aansluiting van "3 x 32-35 A" is dat inderdaad iets meer dan ik thuis kan aansluiten.
Merkwaardig wie slaat er nou "grote" geheimen op in zijn vaatwasser ?
Enigste dat ik kan bedenken dat er aan vertrouwelijke informatie in zou kunnen staan is de datum/tijd van gebruik. Dat als de eigenaar bv iedere woensdag avond naar zijn vereniging gaat een hacker dit aan de gebruiksgegevens van zijn vaatwasser kan uitlezen. Dat zou interessant kunnen zijn voor een inbreker. Maar voor een hacker ?
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
"Slimme" huishoudapparaten kunnen gebruik maken van goedkope stroomtarieven, maar dat is hier niet aan de orde.
Deze lab-wasser moet kunnen loggen. Path-traversal in de web server is natuurlijk een beveiligingslek. Ook al weet je nu niet waar dat toe kan leiden, het is niet zoals het hoort en het is gevaarlijk. Het zou bijvoorbeeld in combinatie met een andere lek kunnen worden gebruikt.
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
Gaat het er om dat het geen gewone huis-tuin-en-keuken vaatwasser is maar een industriele? Dat vind ik eerlijk gezegd maar een klein detail en geen excuus. Juist bij professionale en medische apparatuur is veiligheid erg belangrijk. Als dit systeem al niet voldoende wordt beveiligd dan zal het met consumentensystemen nog wel slechter gesteld zijn.
Gaat het misschien om het woord "slim"? Dat vind ik namelijk ook niet onterecht gebruikt. Voor de meeste mensen betekent slim namelijk dat er een netwerkaansluiting op zit. Denk aan de "slimme meter". Van oorsprong sloeg het natuurlijk op de regeltechniek in dat apparaat, maar dat is niet waar de meeste consumenten aan denken, slim = "op afstand uitleesbaar/aanstuurbaar", en het liefst voorzien van mooie grafiekjes en metertjes. Kijk bijvoorbeeld maar naar het commentaar op security.nl (en die site heeft dan nog niet eens een echt lekenpubliek).
Naar mijn mening is het dus niet onterecht dat er wat ophef gemaakt over een "slimme" "vaatwasser" die lek is. De kern van de boodschap komt immers goed over: zelfs A-merken leveren apparatuur met onveilige software; meestal is er bij de eigenaar geen besef van wat er allemaal mogelijk is (bedoeld of onbedoeld).
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html?showReaction=9797333#r_9797333
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
Ook opmerkelijk
Redelijk zeldzaam dat tweakers security.nl noemt.
Maar nu er wat af te zeiken valt wordt o.a. security.nl met naam en toenaam genoemd.
Voorteken van nieuwe kinnesinne vanuit tweakers naar security.nl? Concurrentiestrijd om lezertjes?
Even laten zien dat je meer middelen hebt om meerdere vaste nieuwsredacteurs te betalen?
Het blijft opmerkelijk dat het ene nieuwsmedium ineens zo duidelijk en openlijk expliciet een collega medium afzeikt op een redactionele vergissing.
Nodig?
Denk van niet.
https://tweakers.net/nieuws/122809/nuance-bevat-slimme-vaatwasser-miele-kwetsbaarheid-in-webserver.html
Het betreft een Reinings en desinfecteerautomaat, geen vaatwasser. Jammer dat zowel publiek als redactie niet de moeite nemen de achtergrond te controleren alvorens beginnen te kwaken.
Ach, de redactie van security.nl test af en toe of wij nog wel goed opletten. ;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?