Illumina iSeq 100: Massive Firmware-Schwachstelle entdeckt : Sicherheitslücke bei DNA-Sequenzierern
Sicherheitsexperten haben schwerwiegende Schwachstellen in der Firmware des DNA-Sequenziergeräts Illumina iSeq 100 aufgedeckt. Angreifer könnten diese nutzen, um unbemerkt Schadsoftware direkt in das Gerät einzuschleusen und dauerhaft darin zu verankern. Dadurch wäre es möglich, die Funktion des Systems massiv zu manipulieren, kritische Prozesse zu stören oder sogar genetische Testergebnisse zu verfälschen.
Das Illumina iSeq 100 nutzt eine stark veraltete BIOS-Firmware, die im sogenannten Compatibility Support Mode (CSM) läuft, so der Cybersicherheitsanbieter Eclypsium. Moderne Sicherheitsfunktionen wie Secure Boot oder Schutzmechanismen gegen das Überschreiben der Firmware fehlen vollständig.
Dadurch könnten Angreifer die Firmware des Systems manipulieren – entweder, um das Gerät unbrauchbar zu machen („brick“) oder um eine Hintertür in der Firmware zu installieren, die ihnen dauerhaften Zugriff ermöglicht.
Zwar wurde das Basic Input/Output System (BIOS) mittlerweile durch die modernere Unified Extensible Firmware Interface (UEFI) ersetzt, doch das iSeq 100 verwendet weiterhin eine veraltete BIOS-Version aus dem Jahr 2018 (B480AM12), die bekannte Schwachstellen aufweist.
Zusätzliche Sicherheitsmechanismen, die festlegen, wo das System Firmware lesen und schreiben darf, fehlen ebenfalls. Secure Boot, das Manipulationen am Firmware-Code erkennen und verhindern würde, ist ebenfalls nicht aktiviert, wodurch Angriffe unbemerkt bleiben können.
Eclypsium betont, dass CSM nicht für moderne, sicherheitsrelevante Geräte verwendet werden sollte. Diese Funktion sei vor allem für alte Systeme gedacht, die nicht auf UEFI umgestellt werden können. Nach einer verantwortungsvollen Offenlegung der Schwachstelle hat Illumina inzwischen ein Update bereitgestellt, um das Problem zu beheben.
Angriffe könnten katastrophale Folgen haben
In einem möglichen Angriffsszenario könnten Angreifer ungeschützte Illumina-Geräte ins Visier nehmen, ihre Zugriffsrechte ausweiten und beliebigen Code in die Firmware schreiben. Damit wäre es möglich, das System entweder unbrauchbar zu machen oder es so zu manipulieren, dass es falsche Ergebnisse liefert – beispielsweise durch das Verändern von genetischen Testergebnissen, die erbliche Krankheiten bestätigen oder ausschließen, oder das Verfälschen von DNA-Forschung.
Eclypsium betont, dass sich ihre Analyse auf das iSeq 100 beschränkt hat. Da die Schwachstellen jedoch auf das Motherboard eines Originalherstellers (OEM) namens IEI Integration Corp. zurückgehen, könnten ähnliche Probleme auch bei anderen medizinischen oder industriellen Geräten auftreten.
„Das ist ein perfektes Beispiel dafür, wie Fehler in der Lieferkette weitreichende Auswirkungen auf verschiedene Geräte und Hersteller haben können“, so Eclypsium.
Illumina-Geräte bereits früher betroffen
Es ist nicht das erste Mal, dass kritische Sicherheitslücken in Illumina-DNA-Sequenziergeräten entdeckt wurden. Bereits im April 2023 wurde eine schwerwiegende Schwachstelle (CVE-2023-1968, Bewertung 10 von 10) bekannt, die es ermöglichte, Netzwerkverkehr auszuspähen und beliebige Befehle aus der Ferne auszuführen.
Die Fähigkeit, die Firmware des iSeq 100 zu überschreiben, würde es Angreifern auch ermöglichen, das Gerät einfach außer Betrieb zu setzen – was im Kontext eines Ransomware-Angriffs erhebliche Störungen verursachen könnte. Ein manuelles Wiederherstellen des Geräts wäre zeitaufwendig und komplex.
Weiterhin könnte ein solcher Angriff ernste Konsequenzen nach sich ziehen, da DNA-Sequenzierer für die Diagnose genetischer Krankheiten, die Erkennung von Krebs, die Identifizierung multiresistenter Bakterien und die Impfstoffproduktion unverzichtbar sind. Dies macht diese Geräte zu einem attraktiven Ziel – nicht nur für finanzmotivierte Ransomware-Angriffe, sondern auch für staatlich gesteuerte Cyberangriffe mit geopolitischen Motiven.