Mittwoch: Meta verärgert AR-Entwickler, Sicherheitslücke bei Internet-Providern
Zusammenfassung
Der heise-Nachrichtenüberblick vom 28. August 2024 meldete neben Metas Aus für Drittanbieter-AR-Effekte und dem Polaris-Dawn-Start einen Angriff auf Internetprovider. Eine ungepatchte Lücke in der Netzwerksoftware Versa Director (CVE-2024-39717) wurde genutzt, um sich bei mindestens vier ISPs einzunisten. Die Angreifer fingen dort Kundenzugangsdaten im Klartext ab, bevor sie gehasht gespeichert wurden; Lumen schrieb den Angriff der chinesischen Gruppe Volt Typhoon zu.
Ideen
- Angreifer drangen zuerst in Kundenrouter und dann bei den Providern selbst ein.
- Passwörter wurden abgegriffen, bevor der Hash-Schutz greifen konnte.
- Eine bekannte, aber nicht überall geschlossene Lücke genügte als Einstieg.
- Staatlich unterstützte Gruppen zielen auf Infrastruktur, nicht auf Einzelpersonen.
Einsichten
- Hashing schützt nicht, wenn Angreifer Passwörter vor dem Hashen mitlesen.
- Netzwerkmanagement-Software ist ein Hochwertziel, weil sie viele Kunden gleichzeitig berührt.
Fakten
- Betroffen waren mindestens drei ISPs in den USA und einer außerhalb.
- Meta schloss seine AR-Plattform Spark am 14. Januar 2025 für Drittanbieter.
Referenzen
Kritik
- Als Sammelmeldung behandelt der Text den Sicherheitsvorfall nur knapp und ohne technische Details zur Lücke.
Empfehlungen
- Nutze bei Providerzugängen, wo möglich, zweite Faktoren, damit abgefangene Passwörter allein nicht genügen.
- Priorisiere Updates für Management-Software, die viele Kunden oder Standorte verwaltet.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.