Bluetooth-Lücke BlueBorne in Google Home und Amazon Echo

Der Entdecker der BlueBorne genannten Bluetooth Sicherheits-Lücke macht darauf aufmerksam, dass die intelligenten Lautsprecher Google Home und Amazon Echo anfällig sind. Der Amazon Echo kann vollständig übernommen werden, bei Google Home ist durch einen Angriff nur die Möglichkeit gegeben die Kommunikation mit anderen Bluetooth-Geräten zu verhindern. Die Hersteller haben für beide Geräte bereits Sicherheitsupdates bereitgestellt.

Unter dem Namen BlueBorne sind mehrere weitverbreitete Schwachstellen zusammengefasst. Angreifer können durch das Ausnutzen dieser Lücken theoretisch die komplette Kontrolle über betroffene Hardware erhalten. BlueBorne beinhaltet insgesamt acht Sicherheitslücken, die durch die große Verbreitung der Technologie in weltweit Milliarden Telefonen, Tablets und Computern vorhanden sind. Die Sicherheitslücke ist unabhängig vom eingesetzten Betriebssystem. Es wurden bereits Angriffe auf Android, iOS, Windows und Linux Geräte beobachtet.

Der Entdecker die Sicherheitsfirma Armis teilt mit, dass Google Home und Amazon Echo als „Brücke“ genutzt werden können um andere Geräte im selben Netzwerk mit Malware anzugreifen. Einzig die Tatsache, dass der Angreifer sich in Bluetooth-Reichweite befinden muss hat dazu geführt, dass die Lücke bisher nur wenig ausgenutzt wird.

Die Auswirkungen auf Amazon Echo sind laut Armis wesentlich tiefgreifender als auf Google Home. Ein Kernelfehler des Amazon Echo erlaubt die vollständige Fernsteuerung, bei Google Home kann nur die Kommunikation mit anderen Geräten per Bluetooth verhindert werden. Google hat nun die Aufgabe 5 Millionen Geräte zu patchen, bei Amazon sind es sogar 15 Millionen Geräte.

Im ursprünglichen Bericht hat Armis die beiden intelligenten Lautsprecher nicht explizit genannt. Es wurde nur allgemein von Internet of Thing (IoT) Hardware mit Bluetooth gesprochen, zu denen Google Home und Amazon Echo jedoch gehören.

Der Herausgeber der Bluetooth-Spezifikationen, die Bluetooth Special Interest Group gibt an, dass es weltweit im September etwa 8,2 Milliarden Bluetooth fähige Geräte gab. Neben den angesprochenen Lautsprechern erwähnt Armis unter anderem noch die Samsung Tizen-Smartwatch Gear S3 und die Fernseher des Unternehmens. Die meisten Android-Smartphones sind inzwischen gepatched. Apple-Geräte sollen sich nur angreifen lassen, wenn sie als Betriebssystem iOS 10 oder eine ältere Version verwenden.