{"id":230434,"date":"2020-04-05T00:59:30","date_gmt":"2020-04-04T22:59:30","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=230434"},"modified":"2023-01-27T09:34:36","modified_gmt":"2023-01-27T08:34:36","slug":"schwachstellen-in-eq-3-homematic-ccu-smart-home-systemen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/04\/05\/schwachstellen-in-eq-3-homematic-ccu-smart-home-systemen\/","title":{"rendered":"Schwachstellen in eQ-3 Homematic CCU Smart Home Systemen"},"content":{"rendered":"

Wie steht es mit der Sicherheit bei Smart Home Systemen von eQ-3 Homematic und speziell der Smart Home Zentrale (CCU)? Die Systeme stellen ja so etwas wie einen Standard zur Heimautomatisierung dar. Und es gibt inzwischen mehrere Generationen der Smart Home Zentrale.<\/p>\n

<\/p>\n

\"\"Hier im Blog habe ich ja gelegentlich \u00fcber Sicherheitsprobleme bei Smart Home-Systemen berichtet. Die letzte Diskussion rankte sich um die eQ-3 Homematic-Systeme \u2013 und ich hatte in diesem Kommentar<\/a> einige Punkte angesprochen, die mir etwas Stirnrunzeln verursachen. Beim solchen Diskussionen mache ich meist einen Kurzcheck im Internet, was es dort zur Sicherheit zu finden gibt. Im Kommentar hatte ich diese Pressemitteilung<\/a> des Herstellers zu geschlossenen Sicherheitsl\u00fccken bei eQ-3-Systemen verlinkt. Und ich hatte auf diesen Artikel<\/a> eines Testers verwiesen, der kein so 'glattes Bild' beschreibt. Aber diese Artikel sind schon etwas \u00e4lter und vielleicht hat sich ja was gebessert?<\/p>\n

Das eQ-3 Homematic-System<\/h2>\n

Es geht im Kern um das eQ-3 Homematic-System, welches auf dieser Webseite<\/a> beschrieben wir. Es schein ein ausgereiftes System in Modulbauweise zu sein, welches mit verschiedenen Modulen alles, von der Heizungssteuerung, zur Sicherheits\u00fcberwachung, zur Lichtsteuerung, bis zur Klimasteuerung etc.\u00a0 einiges abdeckt. Ein Bussystem vereinfacht die Montage, die Verwaltung kann \u00fcber die Smart Home Zentrale (CCU) im lokalen Netzwerk, aber auch \u00fcber das Internet erfolgen.<\/p>\n

H\u00f6rt sich solide an, wird wohl in Deutschland entwickelt und ist schon einige Jahre verf\u00fcgbar. Aber bei den Stichworten Heimvernetzung und Steuerung \u00fcber das Internet taucht bei mir sofort die Frage 'Wie sicher ist das alles?' auf.<\/p>\n

eQ-3 Homematic CCU mit RCE-Schwachstellen?<\/h2>\n

\u00dcber diesen Artikel<\/a> hatte ich ja bereits mitbekommen, dass jemand einige Schwachstellen in der Smart Home Zentrale (CCU) der eQ-3 Homematic gefunden und an den Hersteller gemeldet hatte. Dem Artikel zufolge l\u00e4uft die Beseitigung dieser Schwachstellen, die im Januar 2019 dem Hersteller gemeldet wurden, \u00e4u\u00dferst z\u00e4h. Zumindest l\u00e4sst sich dort der Vorwurf nachlesen, dass manche Schwachstellen nie behoben wurden oder das Patches neue Sicherheitsl\u00fccken aufgerissen haben.<\/p>\n

Die Tage meldete sich der Urheber dieses Artikels<\/a> mit dem Hinweis, dass die eQ-3 Homematic CCU Smart Home Systeme durch einen Cocktail an verschiedenen RCE Sicherheitsl\u00fccken immer noch angreifbar seien. Ich kann mangels Hardware und Ressourcen nichts \u00fcberpr\u00fcfen. Der Betreffende gab an, dass die Produktl\u00f6sung mit Access Point via Cloud-Anbindung hiervon nicht betroffen sei. Zur Motivation schreibt der Betreffende:<\/p>\n

Nach nun sehr langem und z\u00e4hem und teils erfolglosem Ringen um Sicherheitsupdates denke ich, dass die Besitzer von eQ-3 Homematic CCU
\nSmart Home Systemen zumindest gewarnt oder sensibilisiert werden sollten.<\/p>\n

Der unbedarfte Ottonormalverbraucher wird sich der m\u00f6glichen
\nAuswirkungen gar nicht bewusst sein. Die Homematic User-Foren Mitglieder spielen die Angriffsm\u00f6glichkeiten runter. \u201eWer ist schon interessiert an meinem Smart Home. Lampen Ein\/Aus schalten, wem bringt das was?\" Und \u201emein WLAN ist sicher\" ist auch gerne ein Totschlag Argument.<\/p><\/blockquote>\n

Der Blog-Leser verweist darauf, dass der Mirai Abk\u00f6mmling Echobot auch Homematic
\nCCU Zentralen mit einer anderen zwei Jahre alten Sicherheitsl\u00fccke befallen kann. Von meiner Seite kann ich beisteuern, dass Angriffe auf schlecht abgesicherte Home Automation-Systeme in den USA jetzt ein Problem darstellen (siehe den Artikel Smart Home: Der 'Feind' sitzt nebenan<\/a>).<\/p>\n

Ungefixte Schwachstelle CVE-2018-7297 seit 2018<\/h3>\n

Der Blog-Leser gibt an, dass es verschiedene M\u00f6glichkeiten einer recht simplen RemoteCodeExecution g\u00e4be, die die Homematic Smart Home Zentrale (CCU) und dadurch das eigene lokale Netzwerk gef\u00e4hrden. Er f\u00fchrt die seit 2018 \u00f6ffentlich bekannte Schwachstelle CVE-2018-7297 in der CCU2 an, f\u00fcr die es bisher seitens des Herstellers kein Sicherheitsupdate gibt.<\/p>\n

Vom Hersteller, so die Aussage des Lesers, habe es die Begr\u00fcndung gegeben, 'dass die Behebung evtl. nicht wirtschaftlich sinnvoll l\u00f6sbar ist', da sonst 3rd-Party Partnererweiterungen nicht mehr laufen w\u00fcrden. Die HTTP POST Requests auf Port 80 werden somit weiterhin nicht wie bei einer CCU3 geblockt.<\/p>\n

Fehlende Authentifizierungsm\u00f6glichkeiten?<\/h3>\n

Auf einer CCU2 und CCU3 und auch den Community Varianten RaspberryMatic und piVCCU3 kann zus\u00e4tzlich bei falscher (lokaler Firewall) Konfiguration oder fehlender Grundsicherung derselbe Request auf Port 8181 abgesetzt werden. Die CCU2 besitzt hier nicht einmal eine Authentifizierungsm\u00f6glichkeit, w\u00e4hrend diese M\u00f6glichkeit auf den anderen Systemen erst optional eingeschaltet werden muss.<\/p>\n

AddOn-Software als Problem<\/h3>\n

Eine CCU Zentraleinheit kann mit zus\u00e4tzlicher AddOn-Software erweitert werden, was f\u00fcr Funktionserweiterungen ganz nett ist. Diese Erweiterungen liefern durch fehlende Authentifizierung weitere Schwachstellen mit RCE M\u00f6glichkeiten. Hier ist nicht eQ-3 als Hersteller in der Pflicht, sondern die Privatentwickler der AddOns. Hier eine \u00dcbersicht der AddOns mit Problemen.<\/p>\n