Hardware-Hersteller D-Link hat offenbar im Quellcode einer Firmware-Version der Sicherheitskamera DCS-5020L private Code-Signing-Schlüssel vergessen. Diese hätten von Angreifern missbraucht werden können, um etwa Schadsoftware bei den Sicherheitsvorkehrungen des Betriebssystems vorbeizuschleusen. In der neuesten Version hat D-Link die betroffenen Schlüssel mittlerweile entfernt.

Schadsoftware konnte eingeschleust werden

Entdeckt wurde der gefährliche Fauxpas vom norwegischen Sicherheitsforscher Bartvbl. Ihm fielen die vier Code-Signing-Schlüssel im Quellcode der Firmware auf, von denen einer funktionierte. Mit diesem war es möglich ein Windows-Programm zu erstellen und dieses mit dem Schlüssel zu signieren. Dadurch wurde vom System ausgegangen, dass es sich bei der Software um eine D-Link-Anwendung handelt.

Software wurde am 27. Februar veröffentlicht

Bestätigt wurde der Fund von der holländischen Sicherheitsfirma Fox-IT. Die Software wurde um 27. Februar 2015 veröffentlicht. Mittlerweile wurden die Zertifikate zurückgezogen und eine neue Firmware-Version veröffentlicht. (dk, 19.09.2015)