northwind-hub-2-v4.2.1.bin
Eine kritische Lücke im Update-Weg und viele veraltete Bauteile.
214 Bauteile gefunden. Elf Funde sind markiert: einer kritisch, drei hoch, vier mittel, zwei niedrig und ein Hinweis. Das Gerät installiert Updates von jeder Quelle, von der es sie herunterladen kann, und die Verschlüsselungsbibliothek bekommt seit 2023 keine öffentlichen Patches mehr.
Höchste Risiken
- Kritisch
Updates werden installiert, ohne den Absender zu prüfen
Der Update-Weg lädt eine Datei herunter und installiert sie. Eine Signaturprüfung zwischen Download und Installation hat die App nicht gefunden.
Vorgeschlagene Änderung: Signieren Sie jedes Update mit einem Schlüssel, der offline liegt, liefern Sie den öffentlichen Schlüssel auf dem Gerät mit und lehnen Sie jedes Update ab, dessen Signatur nicht passt.
- Hoch
Die Verschlüsselungsbibliothek bekommt keine öffentlichen Patches mehr
OpenSSL 1.1.1 hat im September 2023 sein Lebensende (End of Life) erreicht. Für neue Schwachstellen darin gibt es keinen öffentlichen Patch.
Vorgeschlagene Änderung: Wechseln Sie auf OpenSSL 3.0 oder neuer und vermerken Sie den Wechsel in den Release Notes.
- Hoch
Die Begleit-App ist mit einem Debug-Zertifikat signiert
Die Android-App im Firmware-Paket nutzt einen Debug-Signaturschlüssel, den jeder kopieren kann.
Vorgeschlagene Änderung: Signieren Sie Release-Builds mit Ihrem eigenen Release-Schlüssel und halten Sie diesen Schlüssel vom Build-Server fern.
Stückliste
10 von 214 Bauteilen
| Bauteil | Version | Status |
|---|---|---|
| OpenSSL | 1.1.1w | Hohes Risiko |
| Linux kernel | 5.10.110 | Update |
| BusyBox | 1.36.0 | Update |
| Dropbear SSH | 2022.83 | Update |
| curl | 7.88.1 | In Ordnung |
| zlib | 1.2.11 | Update |
| uhttpd | 2021-05-21 | Update |
| Android companion app | 1.8.2 | Hohes Risiko |
| AWS IoT device SDK | 1.5.0 | Update |
| WPA supplicant | 2.9 | Update |
Anhang-I-Übersicht
Jeder der 22 Punkte aus Anhang I bekommt einen Zustand, mit Begründung. Hier sind vier davon.
- Teil I (2)(a)
- Keine bekannten ausnutzbaren Schwachstellen
- Teilweise
- Bekannte Lücken in 4 Bauteilen. Nichts zu finden ist nie ein Beweis, deshalb kann dieser Punkt höchstens teilweise belegt sein.
- Teil I (2)(c)
- Sicherheitsupdates
- Teilweise
- Es gibt einen Update-Weg, aber die Updates sind nicht signiert.
- Teil II (1)
- Stückliste und Schwachstellen
- Belegt
- Stückliste aus der Datei erstellt, als CycloneDX und SPDX.
- Teil II (5)
- Richtlinie zur Offenlegung
- Offen
- Das kann eine Datei nicht zeigen. Im Paket liegt eine Vorlage.
Im Dokumentenpaket
- Stückliste: CycloneDX 1.5 und SPDX 2.3
- Index der technischen Dokumentation nach Anhang VII, mit dem, was Sie noch ergänzen müssen
- Nachweis zum Supportzeitraum
- Leitfaden für Meldungen nach Artikel 14
- Checkliste für die Konformitätserklärung
- Vorlagen für Richtlinien zu Schwachstellen und Updates
Technische Nachweise, kein rechtliches Zertifikat.