|
20.07.2026 08:39 Uhr |
Millionen von Shark-Saugrobotern der Firma SharkNinja sind anfällig für das Einschleusen von Schadcode und die Übernahme aus dem Internet. Ein IT-Sicherheitsforscher hat unzureichende Autorisierungs- und Authentifizierungsprüfungen in den serverseitigen Diensten entdeckt, die das ermöglichen. SharkNinja hat die Schwachstelle eigenen Angaben zufolge inzwischen ausgebessert.
In einem Blogbeitrag beschreibt der IT-Forscher, wie er sich in die Innereien seines Shark-Saugroboters vorgearbeitet hat. Der Einstieg gelang über das Terminal an der seriellen Debug-Schnittstelle, wodurch root-Zugriff über den U-Boot-Bootloader möglich wurde. Von dort hangelte er sich weiter vor und erlangte schließlich SSH-Zugriff.
Dadurch gelangte er weiter an die Adresse des von Shark genutzten API-Endpoints im AWS-IoT-Core-MQTT-Broker. Dort findet eine TLS-Authentifizierung statt. Jedes Gerät hat einen eigenen privaten Schlüssel, der dafür zum Einsatz kommt. Mit dem gelingt jedoch auch das Registrieren an Topics mittels Wildcard, wodurch Millionen von MQTT-Nachrichten zwischen Servern und anderen Geräten in der gleichen Region des Angreifers sichtbar werden. Es zeigte sich, dass mit dem privaten Schlüssel die Registrierung an Topics beliebiger Geräte möglich ist. Und dort lässt sich dann eine Funktion zum Ausführen von Befehlen auf dem Gerät aufrufen. Lediglich die leicht erhältliche Seriennummer des Zielgeräts ist dafür nötig. Mit einem zweiten Shark-Saugroboter verifizierte er die Schwachstelle, es gelang, darüber eine Webshell einzuschleusen.
Der Timeline des Blogbeitrags zufolge versuchte der IT-Forscher, im Rahmen von Responsible Disclosure zu handeln. Jedoch blieb seit vergangener Woche eine versprochene Antwort vom Hersteller SharkNinja aus. Auf eine diesbezügliche Anfrage an SharkNinja durch heise security konnte das Unternehmen noch nicht unmittelbar reagieren.
Inzwischen hat SharkNinja auf unsere Anfrage geantwortet: „SharkNinja hat Kenntnis von dem Bericht des IT-Forschers zu einigen unserer Staubsaugerroboter. Wir haben die festgestellte Sicherheitslücke vollständig behoben.“
Die Cloud-Systeme von jüngeren Internet-of-Things-Geräten weisen oftmals haarsträubende Sicherheitslücken auf. Mitte Februar stieß ein Tüftler etwa auf eine Sicherheitslücke bei DJI-Saugrobotern, die ihm Zugriff auf tausende Geräte ermöglichte. Dass es sich nicht nur um theoretische Gefahren handelt, zeigte Ende 2024 eine Schwachstelle, die die Fernsteuerung und Übernahme der Kontrolle von Ecovacs-Saugrobotern ermöglichte.
Statement von SharkNinja im Text sowie die Information ergänzt, dass die Lücke behoben sein soll.
(dmk)