Loxone nicht betroffen - Amnesia:33 Sicherheitslücken in TCP/IP-Stacks

[TimoC]

Hallo,

einige haben evtl. von der gravierenden Sicherheitslücke in diversen TCP/IP Bibliotheken gelesen. Meist sind Embedded- und Automatisierungssysteme betroffen.
Quelle: https://www.heise.de/news/Amnesia-33...d-4982063.html

Eine nicht vollständige Liste findet sich hier:

https://kb.cert.org/vuls/id/815128

Daraufhin habe ich Loxone kontaktiert und um Stellung gebeten.
Loxone ist nicht betroffen (siehe Screenshot der Kommunikation).

Heißt aber nicht, dass nicht andere Systeme bei euch im Haus betroffen sind. Also es gilt wie immer, nicht die Baumarktsteckdose ins Internet hängen (Port Forward am Router). Sonst blinkt die Weihnachtsbeleuchtung ohne Lichtbaustein.
Mal im Ernst. Behaltet es für eure eingesetzten Produkte im Auge und gebt nichts nach außen frei.

Hoffe der Beitrag ist hier richtig gesetzt.

Grüße

Timo

[Leo Kirch]

Antwort ist kurz und bündig, geht aber auch nicht tiefer auf die Frage ein. Hätte ich vermutlich im ersten Gang auch so geschrieben ;-)

[Christian Fenzl]

Da Loxone den Kernel des Miniservers selbst implementiert hat, basiert das (vermutlich) nicht auf fertige Libraries.
Dafür weiß auch niemand, welche Schwachstellen der selbst implementierte TCP-Stack sonst so hat.

[BSiege]

Ich kann mir das schlecht vorstellen. Ich glaube schlichtweg nicht dass der IPStack auf der grünen Wiese entstanden ist. Wenn ich schon sehe wie relativ einfach aufgebauten Protokolle wie syslog und smtp stümperhaft implementiert wurden, geht mir das nicht auf...

[Christian Fenzl]

Der Punkt geht an dich. Insbesondere "Syslog" ist eigentlich eine Frechheit, das überhaupt so zu nennen wie den Standard.