Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2023-4346HighCVSS: 7.5

CVE-2023-4346: Sperrmechanismus ermöglicht dauerhaften Gerätezugriff auf KNX-Geräte

KNX-Geräte mit Connection Authorization Option 1 können durch einen Angreifer dauerhaft gesperrt werden. Ein Reset ohne das aktuelle Passwort ist oft nicht möglich.

METADATEN

Entdeckt:
29.08.2023
Patch verfügbar:
Nein

BETROFFENE SYSTEME

  • •KNX Association KNX Protocol Connection Authorization Option 1

Zusammenfassung

KNX-Geräte, die die KNX Connection Authorization verwenden und Option 1 unterstützen, sind je nach Implementierung anfällig für eine dauerhafte Sperrung. Ein Angreifer kann das BCU Key-Feature nutzen, um ein Passwort auf dem Gerät zu setzen. Da dieses Passwort häufig nicht ohne Kenntnis des aktuellen Passworts zurückgesetzt werden kann, verlieren Benutzer dauerhaft den Zugriff auf das Gerät.

Technische Details

Der Schwachstelle liegt ein übermäßig restriktiver Kontosperrmechanismus (CWE-645) zugrunde. Das BCU Key-Feature der KNX-Geräte ermöglicht das Festlegen eines Gerätepassworts. Dieses Passwort lässt sich in vielen Fällen nur eingeben, nicht jedoch zurücksetzen.

Angriffsszenarien:

  • Netzwerkzugriff: Wenn das Gerät mit einem Netzwerk verbunden ist, kann ein Angreifer mit Netzwerkzugriff mit der KNX-Installation kommunizieren, alle Geräte ohne zusätzliche Sicherheitsoptionen löschen und einen BCU Key setzen.
  • Physischer Zugriff: Auch bei nicht vernetzten Geräten kann ein Angreifer mit physischem Zugriff denselben Angriff durchführen.

CVSS-Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Der Angriff erfordert niedrige Komplexität, keine Berechtigung und keine Benutzerinteraktion. Er betrifft die Verfügbarkeit (Availability), nicht jedoch Vertraulichkeit oder Integrität.

Betroffene Systeme

Produkt Version
KNX Association KNX Protocol Connection Authorization Option 1 Alle Versionen (ohne gesetzten BCU Key)

Betroffen sind ausschließlich Geräte, die:

  • Die KNX Connection Authorization unterstützen
  • Option 1 verwenden
  • noch keinen BCU Key gesetzt haben

Empfehlungen und Maßnahmen

Präventive Maßnahmen

  1. BCU Key setzen: Stellen Sie für jedes KNX-Projekt, das fertiggestellt und in Betrieb genommen wird, sicher, dass der BCU Key gesetzt ist. Übergeben Sie den BCU Key als Teil der Projektdokumentation an den Gebäudewalter.

  2. Netzwerksegmentierung: Minimieren Sie die Netzwerkanbindung aller Steuerungssysteme. Stellen Sie sicher, dass diese nicht von das Internet aus erreichbar sind. Lokalisieren Sie Steuerungsnetzwerke und ferne Geräte hinter Firewalls und isolieren Sie sie vom Unternehmensnetzwerk.

  3. Sicherer Fernzugriff: Wenn Fernzugriff erforderlich ist, verwenden Sie sichere Methoden wie VPNs (Virtual Private Networks). Beachten Sie, dass VPNs eigene Schwachstellen haben können und auf die aktuellste Version aktualisiert werden sollten.

  4. KNX Secure Checklist: Befolgen Sie die Empfehlungen der KNX Secure Checklist.

Reaktive Maßnahmen

  • Führen Sie vor der Einführung von Abwehrmaßnahmen eine ordnungsgemäße Auswirkungsanalyse und Risikobewertung durch.
  • Beobachten Sie verdächtige Aktivitäten und melden Sie diese gemäß Ihren internen Verfahren an CISA.

Quellen

REFERENZEN