Ubiquiti: Nutzer hatten Zugriff auf fremde Router und Kameras

Ubiquiti bietet ein breites Sortiment netzwerkfähiger Endgeräte an, die sich über die Cloud-Dienste des Herstellers steuern lassen. Einige Anwender konnten darüber zuletzt völlig unerwartet auf die Geräte fremder Nutzer zugreifen und erhielten dazu passende Benachrichtigungen – unter anderem von Sicherheitskameras.

Zugriffe auf fremde Ubiquiti-Geräte

Ein betroffener Anwender behauptet im Community-Forum von Ubiquiti, er habe nach Anmeldung an seinem Konto auf die Konsolen von insgesamt 88 Geräten eines anderen Nutzers zugreifen können. Bei diesen Konsolen handelt es sich um eine Möglichkeit zur Steuerung verschiedener Produkte des Herstellers, zu denen unter anderem Router, Kameras und intelligente Türklingeln zählen. Auf die genannten 88 Konsolen habe er vollen Zugriff erhalten und sie auf die gleiche Weise verwenden können, wie er es von seinen eigenen Konsolen gewohnt war, erklärt der Nutzer weiter. Erst nach einer Aktualisierung der Seite in seinem Webbrowser habe er in seinem Nutzerkonto wieder seine eigenen Konsolen gesehen.

Auf Reddit wies vorgestern ein Nutzer aus Deutschland auf ein ähnliches Problem hin: Seine Frau habe von der UniFi-Protect-App auf ihrem Smartphone eine unerwartete Benachrichtigung erhalten. Darin sei das Bild einer Sicherheitskamera enthalten gewesen – von einem völlig fremden Ort. Nachdem seine Frau die UniFi-Protect-App geöffnet habe, habe diese aber nur jene Kameras aufgelistet, die dem Paar tatsächlich gehörten. „Wir sind etwas verwirrt und machen uns Sorgen über die Auswirkungen auf unsere Netzwerksicherheit“, so der Nutzer. Als Beweis hat er zwei Screenshots angefügt.

An den Kommentaren zu den Nutzerberichten ist zu erkennen, dass noch weitere Anwender derartige Erfahrungen gemacht haben.

Angeblich nur „eine kleine Anzahl“ von Nutzern betroffen

Nachdem das Problem unter den Nutzern bereits für reichlich Unmut gesorgt hatte, hat Ubiquiti dann gestern Abend eine Stellungnahme veröffentlicht. Darin heißt es, das Unternehmen habe die Ursache bereits identifiziert und beseitigt. Entstanden war das Problem angeblich durch ein Upgrade der UniFi-Cloud-Infrastruktur, bei dem wohl fälschlicherweise 1.216 Ubiquiti-Konten (Gruppe 1) mit einer weiteren Gruppe von 1.177 Ubiquiti-Konten (Gruppe 2) verbunden wurden.

Infolgedessen habe „eine kleine Anzahl“ von Nutzern der Gruppe 2 auf ihren Smartphones Push-Benachrichtigungen von Konsolen von Nutzern der Gruppe 1 erhalten. Außerdem sei es einigen Anwendern aus Gruppe 2 nach erfolgreicher Anmeldung an ihrem Account vorübergehend möglich gewesen, auf ein fremdes Konto aus Gruppe 1 zuzugreifen. Bestanden habe das Problem allerdings nur am 13. Dezember zwischen 6:47 Uhr und 15:45 Uhr UTC.

Wie viele unzulässige Zugriffe innerhalb dieses Zeitfensters erfolgt sind, ist wohl noch unklar. Der Hersteller geht davon aus, dass es sich um „weniger als ein Dutzend“ Fälle handelt, das tatsächliche Ausmaß werde aber noch untersucht. Sämtliche Anwender, die zu Gruppe 1 gehören, will Ubiquiti in Kürze per E-Mail über den Vorfall in Kenntnis setzen.