Berichten zufolge hat Wyze fast drei Jahre nach der ersten Entdeckung endlich eine schwerwiegende Sicherheitslücke in seinen Kameras behoben. Der fragliche Fehler betraf die Authentifizierungsmethode, die für die Verbindung mit Wyze-Kameras verwendet wurde. Und es ermöglichte unbefugten Benutzern effektiv, Kameras ein- oder auszuschalten, SD-Kartenaufzeichnungen zu deaktivieren und sogar Schwenk-/Neigeaktionen auf kompatiblen Geräten zu steuern.
Schlimmer noch: Durch die Implementierung eines zusätzlichen Exploits, der einen stapelbasierten Pufferüberlauf nutzte, waren die Kameras anfällig für die Anzeige von Live-Streams. Sowie Überprüfungsaufnahmen von der SD-Karte. Ob sie Zugriff auf Ihre Smart-Home-Geräte haben sollten oder nicht.
Was war die Schwachstelle?
Nun handelte es sich, wie bereits erwähnt, um eine Schwachstelle im Authentifizierungsprozess selbst. Wie das für die Entdeckung der Schwachstelle verantwortliche Bitdefender-Team berichtete, war sie vermeidbar. Dies wiederum ermöglichte den Zugriff auf die Kamerasteuerung, jedoch nicht auf Live-Streaming.
Die Problematik ermöglichte lediglich eine Durchsicht durch eine Sekundärmaßnahme. Tatsächlich handelt es sich um die Kombination eines stapelbasierten Pufferüberlaufs mit der Bypass-Methode. Bereitstellung des Zugriffs auf die oben genannten Steuerelemente sowie auf Livebilder und Bilder auf der SD-Karte über eine unbefugte Verbindung zum entsprechenden Webserver.
Warum hat Wyze so lange gebraucht, um diese Sicherheitslücke in seinen Kameras zu beheben? Ist jetzt alles sicher?
Weniger sicher ist natürlich, warum Wyze so lange brauchte, um die Sicherheitslücke in seinen Kameras zu beheben. Bitdefender meldete die Wyze-Sicherheitslücke im März 2019.
Sobald Sicherheitslücken entdeckt werden, ist es üblich, sie dem Unternehmen zu melden. Sicherheitsfirmen warten dann in der Regel innerhalb eines Zeitraums von 90 Tagen, bevor sie die Ergebnisse veröffentlichen. Geben Sie dem Unternehmen Zeit, eine Lösung zu finden und diese für die überwiegende Mehrheit seiner Benutzerbasis bereitzustellen. Wyze hat die Schwachstelle lediglich behoben, sodass das oben verlinkte Whitepaper im Januar 2022 veröffentlicht werden konnte.
Diese zeitliche Diskrepanz zwischen Entdeckung und Lösung steht in direktem Widerspruch zu ihrer Botschaft über die Sicherheit ihrer Produkte.
Außerdem wird das Problem, wahrscheinlich teilweise aufgrund der Wartezeit, nicht für alle behoben. Wyze hat die damit verbundenen Schwachstellen für die Wyze Cam der ersten Generation nicht behoben. Und seit dem Ende des Supports im Februar sind keine weiteren Updates für das Gerät geplant. Benutzer dieser Geräte müssen auf ein neues Gerät aktualisieren, um das Problem zu beheben. Auch wenn es nur ein Upgrade auf eine neuere Wyze-Kamera bedeutet.
