Serial-to-IP-Konverter sind Hardwaregeräte, die ältere serielle Ausrüstung an moderne Ethernet- und IP-Netzwerke anbinden. Hergestellt werden sie von mehreren großen Anbietern, darunter Moxa, Digi, Advantech, Perle, Lantronix und Silex. Einige Hersteller geben an, Millionen solcher Geräte ausgeliefert zu haben; eine Shodan-Suche weist weltweit fast 20.000 aus dem Internet erreichbare Systeme aus.
Die Untersuchung von Forescout konzentrierte sich auf Geräte von Silex und Lantronix und förderte 20 neue Schwachstellen in den Produkten beider Hersteller zutage, darunter Lücken, die sich ohne Authentifizierung ausnutzen lassen. Unter der Sammelbezeichnung BRIDGE:BREAK erlauben sie die Einschleusung von Betriebssystembefehlen und Remote Code Execution, Firmware-Manipulation, Denial-of-Service-Angriffe sowie Geräteübernahmen. Einige Fehler ermöglichen es zudem, beliebige Dateien hochzuladen, die Authentifizierung zu umgehen und Informationen abzugreifen.
Laut den Forschern können Angreifer mithilfe quelloffener Informationsbeschaffung (OSINT) Details über manche dieser Geräte herausfinden, darunter interne IP-Adressen, Modell- und Herstellernamen sowie Fotografien aus Umspannwerken, Wasseraufbereitungsanlagen und anderen kritischen Infrastrukturen. Neben den aus dem Internet erreichbaren Geräten könnten Angreifer auch Konverter in lokalen Netzwerken ins Visier nehmen, die sich über Schwachstellen oder Fehlkonfigurationen in Randgeräten wie Routern und Firewalls kompromittieren lassen.
Forescout demonstrierte die möglichen Auswirkungen in realen Umgebungen. So könnten Angreifer Daten manipulieren, etwa Sensorwerte in industriellen und medizinischen Umgebungen verfälschen, um gefährliche Zustände zu verbergen, die normalerweise ein Eingreifen erfordern würden. In einem weiteren Szenario beschrieben die Forscher, wie eine Erpressergruppe oder ein staatlich gesteuerter Akteur durch das Einspielen schädlicher Firmware einen Ausfall im Gesundheitswesen auslösen könnte.
Einmal aktiviert, könne die manipulierte Firmware dazu führen, dass Konverter nicht mehr auf das Netzwerk reagieren. Mögliche Folgen seien laut den Forschern, dass Analysegeräte keine Ergebnisse mehr an Laborinformationssysteme übermitteln und Bearbeitungsstaus entstehen, dass Steuerungen für OP-Leuchten nicht mehr auf Fernbefehle reagieren, dass Kalibrierungs- und Zertifizierungsabläufe von Infusionspumpen angehalten werden, dass die Telemetrie von Umgebungssensoren unterbrochen wird und dass Patientenmonitore die Netzwerkverbindung verlieren.
Lantronix und Silex wurden beide benachrichtigt und haben Patches veröffentlicht. Die US-Cybersicherheitsbehörde CISA veröffentlichte kürzlich eine Sicherheitsmeldung zu den Lantronix-Schwachstellen, Silex hat eine eigene Meldung auf seiner Website publiziert.
Die Risiken solcher Geräte sind nicht rein theoretisch: Sie wurden bereits beim Angriff russischer Hacker auf das ukrainische Stromnetz 2015 angegriffen sowie zuletzt bei Attacken auf Energieanlagen in Polen. Forescout will einen ausführlichen Bericht zu den BRIDGE:BREAK-Schwachstellen am Dienstag veröffentlichen.