Kwetsbaarheid maakt uitschakelen en overnemen Nuki Smart Locks mogelijk
In de smart locks en bridges van fabrikant Nuki zijn meerdere kwetsbaarheden ontdekt waardoor het mogelijk is voor een aanvaller om een denial of service te veroorzaken of in het ergste geval de apparaten over te nemen. De fabrikant heeft inmiddels firmware-updates uitgebracht om de problemen te verhelpen.
Nuki biedt verschillende smart locks die via een smartphone zijn te bedienen. Via de Nuki Bridge is het mogelijk om de sloten vanaf over de hele wereld te bedienen. Het apparaat fungeert als een link tussen het slot en het wifi-netwerk van de huiseigenaar. Onderzoekers van NCC Group analyseerden het Nuki Smart Lock en Bridge en troffen elf kwetsbaarheden aan waardoor verschillende soorten aanvallen mogelijk zijn.
De impact van de elf kwetsbaarheden varieert op een schaal van 1 tot en met 10 tussen de 1.9 en 8.8. Via een beveiligingslek aangeduid als CVE-2022-32504, met een impactscore van 8.8, is het mogelijk voor een aanvaller om via een speciaal geprepareerd JSON-packet een buffer overflow te veroorzaken en zo willekeurige code op het Nuki Smart Lock of Bridge uit te voeren.
Een ander beveiligingslek (CVE-2022-32509), waarvan de impact met een 8.5 is beoordeeld, maakt man-in-the-middle-aanvallen mogelijk. De Nuki-apparaten blijken namelijk de TLS-certificaten, gebruikt voor het versleutelen van netwerkverkeer, niet te valideren. Daardoor kan een aanvaller via een malafide certificaat een proxy opzetten en zo netwerkverkeer onderscheppen en aanpassen.
Door CVE-2022-32504 en CVE-2022-32509 te combineren kan een aanvaller kwetsbare Nuki-apparaten overnemen. Daarnaast is het mogelijk om zowel het Nuki Smart Lock als Bridge via een denial of service-aanval uit te schakelen. Dit is mogelijk door het versturen van speciaal geprepareerde http- en bluetooth-pakketten. Nuki werd op 20 april van dit jaar over de kwetsbaarheden ingelicht en bracht op 9 juni een update uit. In de release notes wordt alleen gesproken over "bug fixes", maar in een blogpost wijst Nuki erop dat het om een "security-critical firmware update" gaat.
Een normale sleutel kun je niet op afstand overdragen, kun je niet op afstand intrekken, kun je niet limiteren tot bepaalde tijdstippen, kun je duplicaten niet van controleren , heb je geen zicht op gebruik door wie/wanneer etc etc etc.
Wat is het toch met die idioten hier die denken "slim" te zijn en werkelijk niet in staat zijn te denken aan gebruiksscenario's buiten hun eigen tuinschuurtje .
Maar er zijn zeker genoeg situaties waarin de mogelijkheden van een smart lock gewoon ontzettend veel toevoegen aan het gehannes met sleutels, duplicaten, master keys - en wat daar ook allemaal mee mis kan gaan. (zie de LPL...)
In tegenstelling tot gehackte metalen cilinders (hallo bump key) is een software patch tenminste snel en goedkoop uit te rollen.
Als je zegt : IK heb al die mogelijkheden niet nodig , dat is misschien waar.
Maar doen alsof een metalen token werkelijk alles even goed kan - dat is gewoon dom.
Strikt genomen heeft zo'n smart lock misschien geen Internet nodig en _zou_ het ook gebouwd kunnen zijn op basis van een inpandige controller , en eventueel VPN . Desondanks, de gevonden bugs zijn meer bugs en oplosbaar dan helemaal 'broken by design' .
Volledig eens met je opmerkingen.
Met een eigen controller, zoals Home Assistant, en een eigen (!) VPN, zoals Wireguard, is dit natuurlijk op te bouwen zonder dat het slot zelf internet nodig heeft. Dan haal je wel de hele business case onder de sloten vandaan. ;-)
Juist het eenvoudig van buiten kunnen koppelen is belangrijk in dit soort sloten.
Maar ik ben wel blij met de reactie van Nuki. Er zijn in het verleden diverse leveranciers geweest die helemaal niet hebben gereageerd op meldingen over kwetsbaarheden. Of met een rechtzaak hebben gereageerd/
Peter
Maar er zijn zeker genoeg situaties waarin de mogelijkheden van een smart lock gewoon ontzettend veel toevoegen aan het gehannes met sleutels, duplicaten, master keys - en wat daar ook allemaal mee mis kan gaan. (zie de LPL...)
In tegenstelling tot gehackte metalen cilinders (hallo bump key) is een software patch tenminste snel en goedkoop uit te rollen.
[...]
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
