News AVM Fritz!Box: Fritz!OS 7.57 und 7.31 schließen ausgenutzte Sicherheitslücke

[Mcr-King]

Hmh, wie lange es wohl dauert, die Kabel-Leih-Fritten mit der neuen Software zu versehen? Ein halbes Jahr oder mehr ist bei Vodafone ja nicht selten. Ich hoffe, bei wirklich sicherheitskritischen Patches legt Vodafone mal einen Gang zu.

Müssen Sie eigentlich weil die in der Haftung sind wenn was passiert, aber wie überall Personal Mangel.

 

[Casillas]

@Frank
Für die 7520 gibts auch die 7.57.

Die fritzbox wurde ne zeitlang von 1&1 glaube als Homeserverspeed mit vermietet/verkauft oder sogar gratis zur Verfügung gestellt

http://download.avm.de/fritzbox/fritzbox-7520/deutschland/fritz.os/

Ist auch nur ne softwareseitig abgespeckte 7530

 

[conglom-o]

Für die 7490 direkt aufgespielt - mal sehen, ob WLAN jetzt wieder stabil läuft. Hatte da mit der 7.56 enorme Probleme und ständige Abbrüche.

 

[Engaged]

Ja, deshalb gibt es auch FW 7.31 für Geräte, die noch kein Update auf 7.5x erhalten hatten.

Updates gehen sogar bis 6.xx runter zb 3490 6.88.

 

[h00bi]

Müssen Sie eigentlich weil die in der Haftung sind wenn was passiert

In welcher Haftung?
Kabelleihfritten haben keine Einwahldaten.
Man könnte ggf. die FB-Zugangsdaten ändern, was einen Reset erfordert.
Was soll da an Schaden entstehen? 2 Stunden Internetausfall? Der ist über die vertragliche Verfügbarkeitsangabe abgedeckt.
Zudem kannst du auch einfach Port 443 dicht machen, dann ist die Lücke ebenfalls geschlossen.

Ergänzung (5. September 2023)

Betrifft die Lücke nur 7.50 oder auch ältere Firmware?

Die 7362SL hat ein Update von 7.13 auf 7.14 bekommen, die 7390 auf 6.88
Von daher sind wohl auch älteren Versionen betroffen.

 

[AncapDude]

Tatsächlich hat heute Mitternacht mein Fritz!Fon geblinkt und ich habe damit das Update instant durchgeführt. 👍

 

[Engaged]

Nach dem Update besser kontrollieren ob dies auch erfolgreich war, mein Update vom haustelefon gestartet hat nämlich auch die Fritzbox neu gebootet und hat das Update aber trotzdem nicht eingespielt. 🤷🏻‍♂️

 

[Mcr-King]

In welcher Haftung?
Kabelleihfritten haben keine Einwahldaten

Das mag stimmen aber Vodafone und 1&1 bieten auch DSL an und dort sieht die Sache anders aus und soryy wenn die der Inhaber der Geräte sind müssen sie sie auch sicher machen.

 

[h00bi]

DSL Fritten kannst du selbst patchen, oder? Soweit ich weiß sind die bei keinem Anbieter zugenagelt.
Die ISPs sind der Eigentümer.
Der Kunde ist der Besitzer.
Es gibt sicher kleingedrucktes, was die Pflichten des Besitzers regelt.

 

[MeisterOek]

Meine 5590 Fiber hat das Update heute Nacht auch aufgespielt.

Meine 5590 hat gestern 7.51 erhalten

 

[emulbetsup]

Wenn selbst so alte Schüttler wie die 7390 ein Update bekommen, schätzt AVM das Problem wohl recht hoch ein.

Kann man jetzt eigentlich davon ausgehen, dass die Geräte, die eigentlich bereits EOL waren, wieder eine aktuellen umfassenden aktuellen Softwarestand haben? Die 7362 SL ist jetzt bspw. seit über 3,5 Jahren EOL und hat nun eine neue Firmware bekommen.

Meine 7362 SL arbeitet Dank PPPoE-Passthrough als Modem und ist damit von außen ohnehin nicht mehr über IP ansprechbar. Deswegen werde ich das Update wahrscheinlich nicht einspielen.

 

[Dynamis]

Ich habe meine* 7590 auf Auto-Update Stufe 2 stehen (Über neue FRITZ!OS-Versionen informieren und notwendige Updates automatisch installieren) aber soweit ich mich erinnere habe ich noch nicht einmal ein automatisches Update bekommen.

Was genau meint AVM also mit "notwendige Updates" die ja automatisch installiert werden sollten? Updates welche Sicherheitslücken schließen die ausgenutzt werden schon mal nicht wie es aussieht. Egal, hab das Update manuell durchgeführt.

Doch warum ich eigentlich hier schreibe:

Unbestätigten Meldungen zufolge soll sie Angreifern ermöglichen, sich über den HTTPS-Port 443 Zugriff auf die Fritz!Box und ihre Einstellungen zu verschaffen.

Wie? Einfach so? Obwohl alle Dienste deaktiviert sind? Und vor allem diese Option deaktiviert ist?

Oder gilt das nur unter bestimmten Umständen? Eben wenn man oben erwähnte Option aktiv hat?

*Ich habe die Fritzbox nicht vom ISP sondern selber gekauft.

 

[Warhead]

schön zu sehen, dass auch bei deaktivierten automatischen updates, die sicherheitsrelevanten trotzdem eingespielt werden. top!

 

[Zarlak]

Meine 6490 Cable hat heute Nacht auch das Update erhalten.

 

[Bits&Bytes]

Zudem kannst du auch einfach Port 443 dicht machen, dann ist die Lücke ebenfalls geschlossen.

Wie? Bist du Dir da sicher?

 

[Engaged]

@Dynamis vermutlich konnte eine Lücke genutzt werden bei Geräten welche vom ISP eingerichtet wurden, aber ganz genaue Informationen gibt es nicht bis auf diesen einen italienischen Forums Eintrag.
Aber da wird auch nur von der 7590 gesprochen, also was genau da los ist müsste AVM uns sagen.
Also der fernzugang ist auf jeden Fall betroffen, kann man nur hoffen dass es "nur" bei aktivierten fernzugang möglich war.

 

[truetone]

Bei Vodafone im Forum sollen schon welche das Update auf 7.57 erhalten haben bei den kastrierten Boxen. Scheint wohl recht heikel zu sein

https://forum.vodafone.de/t5/Geräte/FRITZ-OS-7-57-korrigiert-Sicherheitsproblem/td-p/3098182

 

[Engaged]

Stimmt, und haben kabelboxen überhaupt so eine isp-einrichtungsfunktion, das ganze läuft doch ohne Zugangsdaten.
Die dunkelsten Vermutungen lauten ja sogar dass das auch mit geschlossenem Port funktioniert, und könnten auch diese maximale Dringlichkeit erklären. 🙈

 

[TomH22]

Wie? Einfach so? Obwohl alle Dienste deaktiviert sind? Und vor allem diese Option deaktiviert ist?

Wie? Bist du Dir da sicher?

Wie gerade hier:

https://www.computerbase.de/forum/t...ay-luecke-in-avm-routen.2158902/post-28570038

diskutiert wird, kann es sein, das auch bei Weiterleitungen des Port 443 auf interne Geräte (z.B. Webserver, Nextcloud Host, usw.) die Lücke ausgenutzt werden kann.

Ohne nähere Info von AVM ist das aber alles Spekulation.

Auch ob man "schlimmere" Dinge damit machen kann, als die die Zugangsdaten zu ändern. Ich vermute mal dass die ausgefallenen Router eher misslungene Hacking Versuche sind.

 

[loskexos]

Ob der 1750E repeater auch ein Update von 7.30 auf 7.31 bekommt?