Portasplit-Sicherheitslücke: Midea verteilt Updates an Klimageräte
Midea aktualisiert in den nächsten Wochen automatisch alle PortaSplit-Klimageräte. Der Hersteller reagiert damit auf einen Hinweis von heise security und einem anonymen Whistleblower. Der hatte eine Android-App entwickelt, um ein Sicherheitsproblem zu demonstrieren. Mit ihr ließen sich beliebige Geräte per Bluetooth Low Energy (BLE) fernsteuern – auch gegen den Willen ihrer Besitzer.
Wie wir berichteten, war zunächst unklar, ob das Verhalten als Sicherheitslücke gilt – in der Risikobewertung des chinesischen Herstellers kamen unbefugte Zugriffe per BLE offenbar nicht vor. Doch auf unsere Nachfrage versicherte Midea Anfang September, ein Update zu entwickeln und dieses baldmöglichst an seine Kunden verteilen zu wollen.
Der Rollout beginnt
Das ist nun passiert. Wie uns die Pressestelle des Konzerns schrieb, ist das Update für alle Geräterevisionen freigegeben und die Verteilung hat „Over the air“ (OTA) begonnen. Im Laufe der nächsten Zeit (genauere Angaben hat Midea nicht gemacht) erhalten alle PortaSplits das Update automatisch.
Die Aktualisierung enthält eine Anpassung des Authentifizierungsmoduls, um den unautorisierten BLE-Zugriff über eine API ohne Authentifizierung zu unterbinden. Das könnte auch die Steuerung der PortaSplit über Heimautomatisierungsplattformen wie Home Assistant beeinflussen.
Das Update trägt die Versionsnummer V.012634_0000_4000_8000_5006_1012. Sie unterscheidet sich nur in den sechs Ziffern nach „V.“ von der Vorgängerversion V.012236_0000_4000_8000_5006_1012. Für einen Vergleich sollte man also wie andernorts üblich lediglich ans Ende der Versionsnummer schauen. Die aktuelle Version der PortaSplit erfährt ihr Eigentümer beim Blick in die App: Zunächst das Gerät in der App ansteuern, dann auf das Burger-Menü oben rechts tippen, zuletzt unten im Menü „Firmware aktualisieren“ aufrufen.
Auf einem redaktionseigenen Gerät konnten wir das Sicherheitsupdate nicht nachvollziehen, unsere PortaSplit ist noch nicht in den Genuss eines OTA-Updates gekommen. Ob die Aktualisierung den Sicherheitsfehler zuverlässig behebt, konnten wir daher nicht eigenhändig überprüfen. Das ist nicht ungewöhnlich, denn Midea führt einen schrittweisen, sogenannten „staggered rollout“ durch. Um zu vermeiden, dass durch unentdeckte Fehler in der Gerätefirmware weitere Probleme auftauchen, werden nicht alle Geräte gleichzeitig, sondern wellenweise aktualisiert.
Der chinesische Konzern hat auf der IFA kürzlich einen Nachfolger für das beliebte, noch immer schwer erhältliche Gerät vorgestellt. Die Neuausgabe arbeitet mit Propan und soll neue Funktionen für Smarthomes mitbringen. Auch der berüchtigte P1-Filterfehler soll der Vergangenheit angehören.
(cku)