Mercedes-Benz verliert Quellcode von Smart-Car-Komponenten

Der Autobauer Mercedes-Benz hat offenbar einen Server mit Quellcode für Smart-Car-Komponenten für Lastwagen nicht ausreichend abgesichert. Der Schweizer Softwareingenieur Till Kottmann war nach eigenen Angaben in der Lage, ein eigenes Konto für ein Git-Web-Portal der Mercedes-Benz-Mutter Daimler anzulegen und auf dort hinterlegten Code zuzugreifen.

Insgesamt lud Kottmann Code aus mehr als 580 Git-Repositories herunter. Darunter war auch Quellcode für Onboard Logic Units (OLU) des Unternehmens. Dabei handelt es sich um Komponenten, die zwischen der Hardware und der Software eines Fahrzeugs sitzen und es mit der Cloud verbinden. OLUs „vereinfachen den technischen Zugriff auf und die Verwaltung von Fahrzeug-Live-Daten“, heißt es auf der Daimler-Website. Unter anderem werden darüber Anwendungen zum Tracking von Fahrzeugen oder das Abschalten im Fall eines Fahrzeugdiebstahls umgesetzt.

Den offenen GitLab-Server fand Kottman mithilfe einer Google-Dorks-Suche. „Ich suche oft nach interessanten GitLab-Instanzen, meist mit Google Dorks, wenn mir langweilig ist, und ich bin immer wieder überrascht, wie einfach es ist, in die Sicherheitseinstellungen zu gelangen“, sagte der Forscher im Gespräch mit ZDNet.com. „Das war ehrlich ein sehr glücklicher Fund, während ich einfach ein paar Markennamen durchgegangen bin, in der Hoffnung vielleicht einen kleinen Lieferanten oder sowas zu finden.“

Daimler habe es versäumt, eine Whitelist für die Registrierung neuer Konten anzulegen. Das habe es ihm erlaubt, auch ohne eine Firmen-E-Mail-Adresse ein Konto beim offiziellen GitLab-Server von Daimler anzulegen. Die Daten aus den mehr als 580 Repositories veröffentlichte Kottmann unter anderem auf Mega und im Internet Archive. Darunter waren neben Quellcode für OLU-Komponenten auch Images für Raspberry Pi, Server Images, interne Dokumente für die Verwaltung von OLUs aus der Ferne, Beispielcode und interne Dokumentationen.

Darüber hinaus fand der Sicherheitsanbieter Under The Breach bei einer Analyse der Daten Passwörter und API-Tokens für interne Systeme von Daimler. Beides könnte in den falschen Händen die Planung von Angriffen auf das interne Netzwerk von Daimler begünstigen.

Daimler wurde zudem von ZDNet.com und Under The Breach über das Datenleck informiert. Inzwischen wurde der GitLab-Server abgeschaltet. Kottmann kündigte indes an, die von ihm veröffentlichten Kopien erst zu löschen, nachdem er von Daimler zu aufgefordert wurde. Auch stellt sich die Frage, ob Kottmann mit seiner Aktion gegen Gesetze verstößt, da er offenbar nicht versucht hat, Daimler zu kontaktieren, bevor er die Daten veröffentlichte. Allerdings war der GitLab-Server zumindest laut Kottmann so konfiguriert, dass wirklich jeder ein Konto anlegen konnte – als sei es ein offenes System. Laut einer Untersuchung von ZDNet.com fanden sich in dem Code auch keine Warnungen, dass es sich um geistiges Eigentum von Daimler oder Mercedes-Benz handelt.