Eine Schwachstelle in einem intelligenten Zugangskontrollsystem, das in Tausenden von Miethäusern in den USA verwendet wird, ermöglicht es jedem, jedes Schloss in einem betroffenen Haus fernzusteuern. Aber Chirp Systems, das Unternehmen, das das System herstellt, hat Anfragen zur Behebung des Fehlers ignoriert.
Die US-Cybersicherheitsbehörde CISA ging letzte Woche mit einem Sicherheitshinweis öffentlich gemacht Es heißt, dass die von Chirp entwickelten Telefon-Apps, die Bewohner anstelle eines Schlüssels für den Zugang zu ihren Häusern verwenden, hartcodierte Zugangsdaten „fälschlicherweise speichern“, mit denen jedes Chirp-kompatible Smart-Schloss ferngesteuert werden kann.
Apps, die auf im Quellcode gespeicherten Passwörtern, sogenannten Hardcoding-Anmeldeinformationen, basieren, stellen ein Sicherheitsrisiko dar, da jeder diese Anmeldeinformationen extrahieren und verwenden kann, um Aktionen auszuführen, die sich als die App ausgeben. In diesem Fall ermöglichten die Zugangsdaten jedem, ein mit Chirp verbundenes Türschloss über das Internet aus der Ferne zu sperren oder zu entriegeln.
In seiner Empfehlung sagte CISA, dass eine erfolgreiche Ausnutzung der Schwachstelle „einem Angreifer ermöglichen könnte, die Kontrolle zu übernehmen und sich uneingeschränkten physischen Zugriff“ auf intelligente Schlösser zu verschaffen, die mit einem Chirp-Smart-Home-System verbunden sind. Die Cybersicherheitsbehörde vergab einen Schweregrad der Schwachstelle von 9,1 von maximal 10 für die „geringe Angriffskomplexität“ und die Möglichkeit, aus der Ferne ausgenutzt zu werden.
Die Cybersicherheitsbehörde sagte, Chirp Systems habe weder auf CISA noch auf den Forscher reagiert, der die Sicherheitslücke gefunden habe.
Sicherheitsforscher Matt Brown sagte Der erfahrene Sicherheitsjournalist Brian Krebs dass er Chirp im März 2021 über das Sicherheitsproblem informiert hat, die Schwachstelle jedoch weiterhin nicht behoben ist.
Chirp Systems gehört zu einer wachsenden Zahl von Unternehmen im Immobilientechnologiebereich, die Vermietungsgiganten schlüssellose Zugangskontrollen anbieten, die sich in Smart-Home-Technologien integrieren lassen. Vermietungsunternehmen zwingen Mieter zunehmend dazu, die Installation von Smart-Home-Geräten gemäß ihren Mietverträgen zuzulassen. Es ist jedoch bestenfalls unklar, wer die Verantwortung oder das Eigentum übernimmt, wenn Sicherheitsprobleme auftreten.
Der Immobilien- und Vermietungsriese Camden Property Trust unterzeichnete im Jahr 2020 einen Vertrag zur Einführung von Chirp-vernetzten intelligenten Schlössern mehr als 50.000 Einheiten in über hundert Immobilien. Es ist unklar, ob betroffene Immobilien wie Camden sich der Sicherheitslücke bewusst sind oder Maßnahmen ergriffen haben. Kim Callahan, eine Sprecherin von Camden, antwortete nicht auf eine Bitte um Stellungnahme.
Chirp wurde 2020 vom Immobilienverwaltungssoftware-Riesen RealPage gekauft und RealPage wurde vom Private-Equity-Riesen Thoma Bravo übernommen später in diesem Jahr in einem 10,2-Milliarden-Dollar-Deal. RealPage steht vor der Tür mehrere rechtliche Herausforderungen Aufgrund von Vorwürfen verwendet seine Software zur Mietfestsetzung geheime und proprietäre Algorithmen, um Vermietern dabei zu helfen, die höchstmöglichen Mieten für ihre Mieter zu erzielen.
Weder RealPage noch Thoma Bravo haben bisher die Schwachstellen in der erworbenen Software eingestanden und auch nicht gesagt, ob sie beabsichtigen, die betroffenen Bewohner über das Sicherheitsrisiko zu informieren.
Jennifer Bowcock, eine Sprecherin von RealPage, antwortete nicht auf Anfragen von Tech nach einem Kommentar. Megan Frank, eine Sprecherin von Thoma Bravo, reagierte ebenfalls nicht auf Anfragen nach Kommentaren.