Eine Überwachungskamera soll Zugänge sichern, nicht verschenken. Bei einem Modell von Hanwha steckte ein GitHub-Admin-Token offen in der Firmware, mit Schreibrechten auf hunderte Repositories des Herstellers. Der Fall zeigt, wie ein einziger Build-Schritt eine ganze Lieferkette öffnet.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Ein GitHub-Admin-Token in der Firmware einer Hanwha-Überwachungskamera tauchte gleich in 30 Dateien auf, entdeckt beim Zerlegen des ausgelieferten Images. Der Schlüssel gewährte Admin-Rechte auf hunderte Repositories der Hersteller-Organisation. Aus einem einzelnen Gerät ist so ein Generalschlüssel für die gesamte Codebasis geworden.
Das Wichtigste in Kürze
- Ein Sicherheitsforscher hat in der Firmware der Hanwha-Kamera XNP-9300RW einen GitHub-Token mit Admin-Rechten auf hunderte Repositories gefunden.
- Ursache war kein Tippfehler, sondern ein Build-Schritt: Ein Vite-Build hat die komplette Umgebung der CI-Pipeline in die Weboberfläche der Kamera geschrieben.
- Hanwha hat den Token nach der Meldung innerhalb von zwölf Stunden widerrufen.
- Ab dem 11. Dezember 2027 ahndet der EU Cyber Resilience Act solche Auslieferungslecks mit Strafen bis 15 Millionen Euro.
Wie kommt ein Admin-Token in eine Kamera-Firmware?
Firmware zerlegt. Ein Sicherheitsforscher hat rund 500 Firmware-Images von etwa 600 Hanwha-Kameramodellen von der Herstellerseite geladen und entschlüsselt.[1] In den extrahierten Dateien hat der Secret-Scanner Trufflehog angeschlagen: ein GitHub-Token, verteilt über 30 Dateien allein im Image der XNP-9300RW.
Generalschlüssel. Der Token trug keine harmlosen Leserechte, sondern Admin-Rechte auf hunderte Repositories der GitHub-Organisation von Hanwha. Ein Angreifer mit diesem Schlüssel hätte Quellcode lesen, verändern und im schlimmsten Fall manipulierte Firmware nachschieben können.
Warum landete das Geheimnis im Auslieferungspaket?
Vite verrät alles. Der Token stand nicht absichtlich im Code. Ein Vite-Build für die Weboberfläche der Kamera hat die komplette Umgebung der CI-Pipeline, also process.env, in die fertigen UI-Dateien geschrieben.[1] Darin lag auch der Token, mit dem der Automatisierungs-Job auf GitHub zugriff.
Bekanntes Muster. Genau diese Klasse trifft Frontend-Builds regelmäßig: Bundler betten Umgebungsvariablen zur Bauzeit fest ins Auslieferungspaket ein, und was einmal ausgeliefert ist, lässt sich nicht mehr zurückrufen. Hardcodierte Geheimnisse in Geräten sind kein Einzelfall, sondern ein Dauerbrenner der IoT-Sicherheit.
Reihe von Fällen. Erst kürzlich haben TP-Links Kasa-Kameras den Standort des Zuhauses ohne Anmeldung preisgegeben, und im Motorola-Router MR2600 klaffte eine unauthentifizierte Codeausführung. Vernetzte Geräte werden ausgeliefert und dann jahrelang vergessen, während die Lücken bleiben.
Was ab dem 11. Dezember 2027 gilt
Ein Admin-Token in der ausgelieferten Firmware ist kein Programmierfehler, sondern ein Prozessversagen. Die Build-Kette darf Produktionsgeheimnisse gar nicht erst zu sehen bekommen.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für Hersteller im DACH-Raum?
CRA wird ernst. Die EU-Verordnung über Cyberresilienz, der Cyber Resilience Act, verlangt für vernetzte Produkte eine sichere Standardkonfiguration und die Auslieferung ohne bekannte ausnutzbare Schwachstellen.[2] Ab dem 11. Dezember 2027 dürfen nur noch Produkte das CE-Zeichen tragen, die diese Anforderungen erfüllen.
Empfindliche Strafen. Verstöße gegen die wesentlichen Anforderungen kosten bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.[2] Ein Admin-Token im Auslieferungs-Image ist damit nicht länger nur peinlich, sondern ein handfestes Haftungsrisiko. Auch die NIS2-Pflichten verschieben die Haftung weiter in Richtung Hersteller und Betreiber.
Vier Hebel. Gegen genau dieses Leck helfen vier Maßnahmen:
- Secret-Scanner wie Trufflehog oder Gitleaks fest in die CI-Pipeline einhängen, damit kein Build mit Geheimnissen durchläuft.
- Bauzeit-Variablen des Frontends strikt von Produktions-Tokens trennen.
- Zugriffsrechte nach dem Least-Privilege-Prinzip vergeben und Token automatisch rotieren, statt einen Admin-Schlüssel für alles zu nutzen.
- Die fertig ausgelieferte Firmware selbst gegenprüfen, so wie ein Angreifer es täte.
Jetzt prüfen. Jeder Hersteller vernetzter Geräte sollte seine ausgelieferten Images heute mit einem Secret-Scanner durchsuchen, bevor es 2027 die Aufsichtsbehörde tut. Ein widerrufener Token beseitigt nur das Symptom, die undichte Build-Kette bleibt sonst bestehen.
Quellen
[1] hhh.hn: „My security camera shipped a GitHub admin token in its login page“ ↩
[2] Europäische Kommission: „The Cyber Resilience Act — Summary of the legislative text“ ↩
Mehr Newshunger?
- TP-Link-Kasa-Kameras gaben den Standort des Zuhauses ohne Anmeldung preis
- Unauthentifizierte Codeausführung im Motorola-Router MR2600
- NIS2: Die Produktionshalle wird zur Haftungsfalle
- Datenleck bei Netze BW über einen Zähler-Dienstleister
- Cursor-Zero-Day: Wenn nur noch die volle Offenlegung schützt
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox
