Thread by @HonkHase

Hacker können Gesundheitsämter über Luca angreifen

"Die #LucaApp liefert Daten ans Gesundheitsamt. Sicherheitsexperten zeigen nun: Darin lässt sich Quellcode verstecken, der potenziell ganze Behörden lahmlegen könnte"

Von @evawolfangel via @zeitonline /1
zeit.de/digital/2021-0…

"All das ist auch deshalb bemerkenswert, weil Patrick Hennig, der CEO von Nexenio, der Firma, die #LucaApp entwickelt hatte, vor einigen Wochen auf Nachfrage sagte, eine solche Attacke sei nicht möglich" /2
zeit.de/digital/datens…

"Die getroffenen Vorkehrungen sind allerdings lückenhaft. "Das zeigt, dass sie das Problem nicht verstanden haben", sagt @mame82." /3

"Dass offenbar weder entsprechende Tests stattfinden noch das Problem verstanden werde, ärgert @mame82, der schon mehrere andere Probleme im Code der Fachanwendung gefunden hatte. "Das alles zeigt, dass Nexenio seiner Verantwortung nicht gewachsen ist."" /4

"Tatsächlich ist #Ransomware ungefähr das Letzte, was man inmitten einer Pandemie in Gesundheitsämtern braucht – denn damit würden sie handlungsunfähig."

Ja danke auch, #LucaApp 😒 /5

"Dass das Angriffsszenario realistisch ist, bestätigt auch @Linuzifer, Sprecher des #CCC, der die Schwachstelle geprüft und bewertet hat. "Ein Angreifer kann darüber beliebigen Code ausführen lassen", sagt er." /6

"Es sei möglich, durch die #Schwachstelle #Patientendaten herunterzuladen, beliebige Daten zu löschen oder Schadsoftware wie #Ransomware nachzuladen."

#LucaApp /7

"Besonders problematisch sei, dass bereits vor dem Problem gewarnt wurde, Nexenio darauf aber nicht adäquat reagiert habe. #LucaApp hat das Risiko – wie immer – kleingeredet, statt es ernst zu nehmen."" /8

"Üblicherweise informieren Sicherheitsexpertinnen den Hersteller einer Software, bevor sie eine Lücke veröffentlichen, sodass die Schwachstelle geschlossen werden kann. Das sei hier nicht nötig – die Lücke sei ja längst bekannt." /9

"Die IT-Security-Community habe inzwischen eine ganze Reihe an Sicherheitslücken gemeldet, sagt @Linuzifer, "und Nexenio hat diese jedes einzelne Mal geleugnet. Wer sich so unaufrichtig verhält, bekommt irgendwann keinen freundlichen Hinweis mehr"." /10