Neue OpenSSL Sicherheitslücke: Security-Unternehmen erkennt betroffene Software auch für IoT- / IIoT-Geräte automatisch

Neue OpenSSL Sicherheitslücke: Security-Unternehmen erkennt betroffene Software auch für IoT- / IIoT-Geräte automatisch

Weltweite OpenSSL-Software für Datenverschlüsselung ist dringend zu aktualisieren

Düsseldorf, 17. März 2022 – Eine neue bedrohliche Sicherheitslücke gefährdet weltweit alle Systeme, die OpenSSL, eine der meistverwendeten Softwares für Verschlüsselung aller Art, zur Transportverschlüsselung auf TLS-Basis einsetzen. Bei der Verarbeitung von bestimmten TLS-Zertifikaten können gezielte Attacken Clients und Server zum vollständigen Stillstand bringen (DoS -Denial of Service). „Server, Clients und sonstige Geräte müssen sofort geprüft und nötigenfalls gepatcht werden. Da diese Software sehr verbreitet ist, ist die Mehrheit aller IT-Systeme – vom Server über Clients bis hin zum Internet der Dinge – betroffen. Wenn Hacker diese Lücke gezielt attackieren, kann es für Unternehmen und Institutionen sehr kritisch werden“, warnt Jan Wendenburg, CEO von IoT Inspector. Das Security-Unternehmen betreibt die führende europäische Plattform zur automatisierten Überprüfung von IoT-Firmware. Die jüngst bekannt gewordene Schwachstelle kann so auch in IoT- und IIoT-Geräten und -Infrastruktur, bzw. in deren Software gezielt aufgedeckt und so behoben werden.

Bedrohungsgrad: Hoch

In jüngster Vergangenheit deckte das Team von IoT Inspector zahlreiche Schwachstellen bei bekannten Hardwareherstellern auf. „Wir haben erlebt, dass nach der Veröffentlichung eines technischen Advisories Hacker gezielt begonnen haben, die adressierte Sicherheitslücke zu attackieren. Daher sollten Administratoren sofort prüfen, ob das Problem in ihren Netzwerken vorliegt“, sagt Jan Wendenburg von IoT Inspector. Die Sicherheitslücke (CVE-2022-0778) ist mit dem Bedrohungsgrad „hoch“ eingestuft. Entdeckt wurde sie von Tavis Ormandy, einem britischen White-Hat-Hacker, der aktuell bei Google als Teil des Project-Zero-Teams arbeitet. Betroffen von der Schwachstelle sind die OpenSSL-Versionen 1.0.2, 1.1.1 und 3.0. Administratoren, die OpenSSL einsetzen, sollten zeitnah eine der abgesicherten Ausgaben 1.1.1n oder 3.0.2 installieren.

Unberechenbare Situation

Schnelle Reaktionen sind vor allem vor dem Hintergrund internationaler Cyberattacken aufgrund des Ukrainekrieges angebracht, rät das Spezialistenteam von IoT Inspector: „Kritische Infrastrukturen, aber auch Unternehmen, sind aktuell gefährdeter denn je. Der aufgedeckte Einsatz europäischer Technologie in russischem Kriegsgerät zeigt, wie schnell Unternehmen heute im Kreuzfeuer stehen und eventuell in einen Feldzug von Anonymous-Hackern gezogen werden könnten. Die Situation ist unberechenbar“, erklärt Wendenburg. Erst vor wenigen Tagen warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits zum dritten Mal vor kriegsbedingten Attacken auf IT-Infrastrukturen. Dabei kann jede Komponente eines Netzwerkes als Einfallstor genutzt werden, sofern die Sicherheitslücken nicht durch gezielte Analysen identifiziert und anschließend behoben werden. IoT Inspector bietet nach den Warnungen des BSI weiterhin einen kostenlosen Sicherheitscheck für IoT/IIoT Endpoints aller Art in KRITIS-Infrastrukturen an, um die europäische Sicherheitsarchitektur bestmöglich zu schützen. Ein Firmware-Check dauert nur wenige Minuten und analysiert die relevanten Risiken. 

Über IoT Inspector:  
IoT Inspector ist die führende europäische Security & Compliance Analyseplattform für Geräte im Internet der Dinge. Die Technologie von IoT Inspector ermöglicht ohne Geräte oder Netzwerkzugriff über „Digital Twins“ die vollautomatisierte Firmware-Analysen von IoT/IIoT/OT-Devices auf kritische Sicherheitslücken. Der integrierte Compliance Checker deckt gleichzeitig Verletzungen internationaler Compliance-Vorgaben auf. Schwachstellen für Angriffe von außen und Sicherheitsrisiken werden in kürzester Zeit identifiziert und können so gezielt behoben werden. Die einfach in die Software-Entwicklung und Procurement-Prozesse zu integrierende Lösung deckt für Hersteller, Inverkehrbringer und Nutzer von IoT-Technologie unbekannte Sicherheitsrisiken auf und überwacht die Sicherheit auch automatisch über den kompletten Produktlebenszyklus. Für Universitäten und Forschungseinrichtungen steht die IoT Inspector Plattform kostenlos zur Verfügung.