Sicherheitslücke ermöglicht kostenloses Waschen von Millionen vernetzten Waschmaschinen

Im Jahr 2024 haben zwei Studenten der University of California Santa Cruz (UC Santa Cruz) eine Sicherheitslücke in den Waschmaschinen des großen US-Wäschereibetreibers CSC ServiceWorld entdeckt. Durch die Ausnutzung dieser Schwachstelle ist es möglich, mehr als eine Million vernetzte Waschmaschinen in öffentlichen Wäschereien in Wohnheimen und auf dem Campus von Universitäten kostenlos zu nutzen.

Die beiden Studenten haben eine Schwachstelle gefunden, die es ihnen ermöglicht, aus der Ferne Befehle an die internetfähigen Waschmaschinen zu senden. Beispielsweise können sie den Waschvorgang starten, auch wenn kein ausreichendes Guthaben auf dem Wäschekonto vorhanden ist. Einer der Studenten stieß zufällig auf diese Lücke, als er mit seinem Laptop in einem Waschraum saß. Durch das Ausführen eines Skripts konnte er bewirken, dass eine Waschmaschine ohne ausreichendes Guthaben einen Waschgang startete.

Die vermutete Schwachstelle liegt offenbar in einer API, die von der mobilen App CSC Go zur Verwaltung von Konten und Bezahlung von Waschvorgängen genutzt wird. Die Studenten entdeckten, dass es möglich war, die CSC-Server dazu zu bringen, Befehle anzunehmen, die den Kontostand verändern. Die Sicherheitsüberprüfungen wurden ausschließlich auf den Geräten der Studenten durchgeführt. Um diese Informationen zu erhalten, haben die Studenten den Datenverkehr zwischen der CSC-Go-App und den CSC-Servern untersucht. Anschließend haben sie angeblich mehrere Millionen Dollar auf ein Wäschekonto gebucht.

Die Meldung der Sicherheitslücke an CSC ServiceWorld gestaltete sich schwieriger als erwartet. Im Januar haben die beiden Studenten mehrere E-Mails über das Kontaktformular des Unternehmens geschickt, jedoch keine Antwort erhalten. Das Wäschereiunternehmen verfügt über keine dedizierte Webseite für die Meldung von Sicherheitsproblemen. Auch ein Telefonat mit dem Unternehmen war erfolglos.

Daher haben die Studenten ihre Untersuchungsergebnisse an das CERT Coordination Center geschickt, das an der Carnegie Mellon University (CMU) angesiedelt ist. Dieses Zentrum fungiert als eine Art Meldesystem für Sicherheitslücken, die dann an die Hersteller weitergeleitet werden. Darüber hinaus werden die Sicherheitsprobleme dort untersucht und gegebenenfalls Lösungen und Anleitungen zur Behebung bereitgestellt.

Erstmalig im Mai wurden die Ergebnisse nach einer Wartefrist von über drei Monaten, die üblicherweise für die Veröffentlichung von Sicherheitslücken eingehalten wird, auf einer Präsentation des Cybersecurity Clubs der UC Santa Cruz veröffentlicht. Obwohl CSC bisher nicht geantwortet hatte, wurden die Konten der Studenten ohne jegliche Benachrichtigung auf null gesetzt. Das Wäschereiunternehmen hat keine weiteren Maßnahmen ergriffen. Es besteht immer noch die Möglichkeit, die Sicherheitslücke auszunutzen, um das Konto aufzuladen und eine Waschmaschine von CSC aus der Ferne freizuschalten. Es ist lediglich erforderlich, den physischen Startknopf der jeweiligen Waschmaschine zu drücken.

Schlagwörter: CSC ServiceWorld + UC Santa Cruz + TechCrunch

Wie bewerten Sie den Schreibstil des Artikels?