Anfang April 2024 hatte Sicherheitsforscher Martin Schobert von der IT-Security-Firma Pentagrid über eine von ihm entdeckte Schwachstelle in einem Check-in-Terminal eines Ibis-Hotels berichtet. Demnach reichte die Eingabe einer ungültigen Buchungs-ID in Form von „——“ aus, um an die Zimmernummern und die Tastenschloss-Codes anderer Gäste zu kommen.

Mit diesen Informationen könnte man sich jederzeit physischen Zugang zu deren Hotelzimmern verschaffen. Hersteller und Marke des Check-in-Terminals konnte Schobert nicht verifizieren. Jetzt hat der Experte aber eine weitere Schwachstelle entdeckt, die mit einem solchen Hotelterminal in Verbindung steht – dieses Mal inklusive Hersteller.

Wie Pentagrid mitteilt, lief das betroffene Selbstbedienungsterminal mit der Software Allegro Scenario Player der Firma Ariane Systems. Ähnlich wie im oben beschriebenen Fall soll Schobert auch hier durch Zufall auf die Sicherheitslücke gestoßen.

Demnach habe er bei einem Hotelbesuch das dort angebotene Selbstbedienungsterminal zum Check-in verwendet. Das Verwenden eines Apostrophs wie in „O’YOLO“ bei der Eingabe des Nachnamens habe das System zum Absturz gebracht. Anschließend sei der Zugriff auf einen Windows-Desktop möglich gewesen.

Dort wiederum seien „die auf dem Terminal gespeicherten Daten, einschließlich personenbezogener Daten, Reservierungen und Rechnungen“ einsehbar gewesen. Hätten findige Angreifer:innen die Möglichkeit, einen Programmcode auf dem Terminal einzuschleusen und auszuführen, hätten sie sich auch Zimmerschlüssel für andere Zimmer erstellen können, so Schobert.

Ariane Systems zeigte sich angesichts des Problems laut Pentagrid nicht sonderlich beeindruckt und stritt zunächst ab, dass über das Terminal personenbezogene Daten abgerufen werden könnten. Es handle sich um „Altsysteme“, hieß es in einer ersten Reaktion.

Später erklärte das Unternehmen dann laut Schobert, dass das Problem im Allegro Scenario Player behoben sei – ohne allerdings eine Angabe dazu zu machen, mit welcher Version der Software die Sicherheitslücke gepatcht wurde. Ebenfalls nicht offiziell bestätigt ist, welche Terminals und welche Hotels von dem Problem betroffen sind. Schobert zufolge könnte es sich um ein Terminal der Serie Ariane Duo 6000 handeln.

Pentagrid empfiehlt, dass Hotels, die über ein Check-in-Terminal des Herstellers verfügen, die neueste Version der Software installieren sollten. Laut eigenen Angaben bediene Ariane Systems „derzeit 3.000 Hotels und 500.000 Zimmer in mehr als 25 Ländern“, darunter „ein Drittel der 100 größten Hotelketten weltweit“.