Video Encoder für HiSilicon-Chips (Huawei) mit schweren Sicherheitslücken

[English]Der Sicherheitsforscher Alexei Kojenov hat schwere Sicherheitslücken in Software-Video Encodern, die für HI3520D-Chipsets der Huawei-Tochter HiSilicon geschrieben wurde, entdeckt. Wegen eines entdeckten Zugangs mit Standard-Passwort schreibt er sogar von einer Backdoor.

IPTV/H.264/H.265 Video-Encoder-Geräte bieten Video-Streaming-Fähigkeiten über IP-Netzwerke. Die zugrundeliegende Software in diesen Geräten scheint gemeinsame Komponenten zu haben, die mehrere Schwächen in ihrem Design und ihrer Standardkonfiguration aufweisen.

Alexei Kojen hat die Einzelheiten im Beitrag Backdoors and other vulnerabilities in HiSilicon based hardware video encoders offen gelegt. Es geht um kritische Schwachstellen in IPTV/H.264/H.265 Video-Encodern, die auf HiSilicon hi3520d Hardware basieren. Die Schwachstellen bestehen in der Anwendungssoftware, die auf diesen Geräten ausgeführt wird.

Die Schwachstellen treten vor allem in den Netzwerkdiensten wie Web- und Telnet-Schnittstellen auf. Diese Schwachstellen sind auf Softwarefehler zurückzuführen, wie z.B. die unzureichende Validierung von Benutzereingaben und die Verwendung unsicherer Zugangsdaten durch fest kodierte Passwörter (siehe https://owasp.org/www-project-top-ten/). Hier eine Liste der Schwachstellen, die Alexei Kojen gefunden hat, zusammen gestellt von cert.org.

1. Full administrative access via backdoor password (CVE-2020-24215)
2. Administrative root access via backdoor password (CVE-2020-24218)
3. Arbitrary file read via path traversal (CVE-2020-24219)
4. Unauthenticated file upload (CVE-2020-24217)
5. Arbitrary code execution by uploading malicious firmware (CVE-2020-24217)
6. Arbitrary code execution via command injection (CVE-2020-24217)
7. Denial of service via buffer overflow (CVE-2020-24214)
8. Unauthorized video stream access via RTSP (CVE-2020-24216)

Da einige Schwachstellen auf Zugänge für Administrator-Konten mit Root-Zugriff per Standard-Passwort basieren, spricht Kojen von Backdoors (Hintertüren). Alle Schwachstellen sind remote ausnutzbar und können zur Offenlegung sensibler Informationen, zum Denial-of-Service und zur Remote Code-Ausführung führen, was zur vollständigen Übernahme des Geräts führen kann.

Die anfälligen Komponenten können auch in anderen Geräten des Internet der Dinge (Internet of Things, IoT) vorhanden sein. Da mehrere Hersteller betroffen sind und zum Zeitpunkt der Veröffentlichung keine vollständigen Korrekturen vorgenommen wurden, sollten diese Kodierer nur in vollständig vertrauenswürdigen Netzwerken hinter Firewalls eingesetzt werden. Huawei hat in einer Erklärung darauf hingewiesen, dass keine der Schwachstellen durch HiSilicon-Chips und das SDK-Pakete eingeführt wurden. Wer für die Schwachstellen verantwortlich war und ob es bewusst eingebaute Backdoors sind, wird sich wohl nicht klären lassen. Heise hat diesen deutschsprachigen Beitrag zum Thema. Details lassen sich im Beitrag Backdoors and other vulnerabilities in HiSilicon based hardware video encoders nachlesen.