Diverse sites berichtten over een lek in een slimme vaatwasmachine van Miele. De vaatwasser zou over een webserver beschikken die vatbaar blijkt voor een aanval. Toont dit geval opnieuw de risico's van de smarthome- en internet-of-things-gekte om alles aan het internet te hangen?
De verwijzing naar een vaatwasser is onder andere bij The Register en ZDNet te zien, terwijl ook het Nederlandstalige Numrush en Security.nl erover schrijven. Bij de originele melding op Full Disclosure spreken de beveiligingsonderzoekers die het lek ontdekten helemaal niet over een vaatwasser.
De Miele PG 8528, want om dit apparaat gaat het, betreft een washer-disinfector volgens kwetsbaarheidmelding CVE-2017-7240. Een simpele zoekopdracht leidt naar de productpagina van de PG 8528 op de Miele-site, waar te zien is dat het inderdaad om een professioneel reinigings- en desinfectieautomaat gaat voor medische toepassingen. Ziekenhuizen en laboratoria kunnen dit soort machines gebruiken om bijvoorbeeld chirurgische instrumenten schoon te maken en te desinfecteren.
Maar is het dan wel een slimme reiniger? Waarom moeten dit soort apparaten een webserver bevatten? In de handleiding staat inderdaad dat er een ethernetinterface aanwezig is, voor aansluiting op een netwerk, pc of ander extern apparaat. Er staat ook dat de signaaloverdracht bedoeld is voor de koppeling met een external report printer. Dit soort professionele apparatuur bevat de mogelijkheid procesprotocollen af te drukken met parameters van het procedé en in sommige gevallen grafieken van temperatuur. Het is niet vreemd dat daar een webserver voor nodig is.
Die geïntegreerde PST10 WebServer blijkt inderdaad een lek te bevatten, waarmee het apparaat vatbaar is voor zogenoemde directory traversal-aanvallen en er door onbevoegden informatie ingezien kan worden. Het is niet netjes dat Miele, gelet op het grote belang van een goede beveiliging van medische apparatuur, al sinds november vorig jaar niet reageert op meldingen van de beveiligingsonderzoekers. Met enige fantasie en creatief taalgebruik kan er over een 'vaatwasser' gesproken worden, maar met smarthome en internet-of-things heeft dit onderwerp in ieder geval niets van doen.