News Angriffe auf Fritz!Box-Router ohne Fernzugriff möglich

[czmaddin]

...

Das sagt doch auch keiner das dies nicht veröffentlich werden sollte... es geht um den Zeitpunkt und die womöglich fehlende Absprache. Die AVM Geräte sind verbreitet, die Geräte sind oft Providergebunden, manche sind noch nicht soweit.

Der Hersteller hat zudem die Lücke bereits mit neuer FW geschlossen, nur ist die Verteilung wie bei UnityMedia noch nicht angelaufen oder erst zum Teil.

und genau dafür ist so eine News sinnvoll, weil es die Provider, bei deren Fritzboxen kein manuelles Update eingespielt werden kann, zwingt endlich aktiv zu werden.

Nur mal so am Rande...woher weißt du denn, dass vor dieser News nicht mit AVM kommuniziert wurde? Bei Heise.de kannst du davon ausgehen, dass der Hersteller kontaktiert wurde. Und zwar umfagreicher als diese abstrakte Beschreibung, die wir hier genießen dürfen.

 

[Der Turl]

sehe ich das richtig ???

1.) ich besuche eine mit dem script präparierte webseite
2.) mein browser führt den code aus und muß sich ( mit ??? oder ohne passwort) auf das webinterface der FB verbinden, das konfigfile runterladen und dann an einen externen serversenden !

A.) reicht es da nicht das webinterface mit einem PW zu schützen welche nur manuell eingegen werden muss ?
B.) wer surft dubiose seiten an ?
C.) warum speichert AVM die konfig files im klartext ???

 

[torquesque]

Was ist mit älteren Boxen für die es seit 2009 und auch jetzt kein Update gibt?

Welche wäre das? AVM hat ja zurück bis zur 7170 alles geupdatet, möglicherweise ist deine Box so alt, dass sie von der Lücke gar nicht betroffen ist.

Hallo, die Frage stelle ich mir hier auch. Modell ist hier z.B. FRITZ!Box WLAN 3170.
Der im AVM Beitrag angesprochene Bereich in den Routerfreigaben existiert hier auch (Fernzugriff etc.).

 

[Volkimann]

Weil man vermutlich heise gebeten hätte, von Providerseite aus, noch mit der Veröffentlich zu warten, um den potentiellen Schaden einzudämmen.
Selbst wenn es in dubiosen Kreisen schon bekannt ist, ist es jetzt noch bekannter geworden. Damit stehen mehrere tausend UnityMedia Kunden als potentielle Angriffsziele zur Verfügung. UnityMedia muss evtl mit höheren Schäden zu rechnen usw.

Würde man das bei Microsoft mit Zero Day Lücken so machen...

 

[Autokiller677]

A) Es geht in der ganzen Affäre ja dadrum, dass OHNE PW etc. auf die FritzBox zugegriffen werden kann.
B) Dafür müssen die Seiten nicht dubios sein. Vor ein paar Jahren wurde z.B. über das DSLR Forum Schadsoftware verbreitet - da wurde der Server manipuliert.

@paradie1945: Ruf bei AVM an und frag nach. Bisher hab ich nur gute Erfahrungen mit dem Support gemacht.

 

[Jaytie]

Welches ist denn das aktuelle FritzOS bzw. Update der mehr oder weniger aktuellen Boxen? Hab hier eine 7360SL. Beim prüfen findet er kein aktuelleres Update. Stand derzeit: Firtz!OS: 06.03

Immer wieder was neues. Synology DiskStation - Besitzer sollten auch ein Update machen. Da kam es jüngst auch zu Vorfällen. Wird wohl auch hier auf CB noch in den News auftauchen.

Quelle: Synology® Fixes Vulnerability in DiskStation Manager

Auch Synology schließt Sicherheitslücke im DSM

 

[dMopp]

KabelDeutschland ist noch etwas größer und vermietet die FB ebenfalls... Gruselig.


Firtz!OS: 06.03 = Aktuell inkl Fix afaik.


So langsam wirds Zeit alles wichtige vom Netz zu nehmen, sofern möglich (Wobei ich das größtenteils eh schon gemacht habe. Brisantes gehört eh offline)

 

[Autokiller677]

@Jaytie: 6.03 ist die Version, die man haben will. Da ist die Lücke gepatcht.

 

[Jaytie]

Alles klar danke!

 

[czmaddin]

Weil man vermutlich heise gebeten hätte, von Providerseite aus, noch mit der Veröffentlich zu warten, um den potentiellen Schaden einzudämmen.
Selbst wenn es in dubiosen Kreisen schon bekannt ist, ist es jetzt noch bekannter geworden. Damit stehen mehrere tausend UnityMedia Kunden als potentielle Angriffsziele zur Verfügung. UnityMedia muss evtl mit höheren Schäden zu rechnen usw.

Würde man das bei Microsoft mit Zero Day Lücken so machen...

Vermutungen, Vermutungen, Vermutungen

 

[Torfil]

Kann mir mal jemand helfen?! Ich habe noch eine alte 5140, ich nehme an die alten Dinger bekommen kein Update mehr oder? Finde im Internet einfach nichts darüber.

Eine normale Support Email finde ich bei AVM auch nicht, nur wenn man einen der aktuellen Router hat.

 

[jackii]

Welche wäre das? AVM hat ja zurück bis zur 7170 alles geupdatet, möglicherweise ist deine Box so alt, dass sie von der Lücke gar nicht betroffen ist.

Danke, irgendwann in den letzten 3 Stunden wurde doch noch eins für meine Box freigegeben.

 

[Volkimann]

Vermutungen, Vermutungen, Vermutungen

Es ist natürlich wahrscheinlicher das AVM und Provider gesagt haben "Nur zu...." Es geht hier darum auch den Schaden für die Provider gering zu halten. Im Endeffekt zahlen wir nämlich dann die Zeche, sei es durch den Preis oder letztenendes durch Verschlechterung des Supportes.

Aber nicht mal soweit denken, sondern hauptsache mit voller Wucht draufhauen.

 

[Wilhelm14]

Eine Analyse des Sicherheitsupdates von Heise Security und dem Reverse-Engineering-Spezialisten Hanno Heinrich hat allerdings ergeben, dass die Schwachstelle nicht mit dem Fernzugriff zusammenhängt und wesentlich schwerwiegender ist, als bislang angenommen wurde.

Analysiert wurden verwundbare Versionen des Firmware Updates. Oder sind die Sicherheits-Updates seit neuesten Meldungen immer noch betroffen?

Nein, die Website wird in dem Fall in deinem LAN gehostet. Sowas kommt bei den meisten wohl eher nicht vor.

Du meinst die Webseite, die Heise zum Test erstellt hat? Ist das nicht egal, wo die gehostet ist?

@Ragna:
...würde ich die Gefahr als recht hoch einschätzen, solange du den Fernzugriff an lässt. Fernzugriff würde ich als erstes Ausschalten...

Die Lücke hat doch nichts mit dem Fernzugriff zu tun (laut aktuellem Stand, kann sich ja wieder ändern).

@Thema: Also eine entsprechend programmierte Internetseite kann die Fritzbox auslesen. Kann die Seite das immer? Oder nur wenn man sich ins Webinterface einloggt, das Login im Browser gespeichert ist, das Webinterface in einem anderen Tab geöffnet hat? Eigentlich steht dem Webinterface noch das Passwort im Wege. Gibt/Gab es also einen zweiten Zugang über eine URL, die Teile der Fritzbox auslesen kann? fritz.box/var/bin/php.xml irgendwas? Erschreckend!

 

[psYcho-edgE]

Seit dem kack Update hab ich ständig Paketverlust -_-

 

[wop]

Was ist mit älteren Boxen für die es seit 2009 und auch jetzt kein Update gibt?

Für mich ist es unfassbar, solche Fragen zu lesen.

Für viele (was man so ließt) ist es wirklich nicht einfach auf avm.de zu gehen und dort die Augen aufzumachen ...

Am Besten ist, alle sicherheitsrelevanten Geräte und Software werden von den Herstellern zwangsaktualisiert.

 

[Lahatiel]

Update ist zwar schon lange eingespielt, aber trotzdem unschön. Das Gros der Leute liest doch solche News überhaupt nicht.

 

[CJay]

Ich wollte vor einigen Tagen auch das Update aufspielen, hatte mich gewundert wieso meine Box gespinnt hat und nichts mehr ging.

Nach einem Reset ging dann alles wieder. Und die Firmware Version war aktuell. Hut ab vom Provider 1&1, das war ein sehr zeitnahes Update. Ich war positiv überrascht.

 

[Autokiller677]

Update ist zwar schon lange eingespielt, aber trotzdem unschön. Das Gros der Leute liest doch solche News überhaupt nicht.

Deshalb schreibt AVM auch alle, die bei Myfritz registriert sind an, es kam schon im Fernsehen und auch im Radio habe ich es mehrfach gehört. Selbst bei meinem Arbeitgeber kam eine Rundmail, dass man seine FB Updaten soll, wenn man eine hat.

Um das Problem nicht mit zu bekommen muss man sich schon anstrengen.

 

[Miriam Minter]

@Volkimann:

Lieber so als anders. Möglicherweise war die Lücke in Hackerkreisen schon bekannt, nur hängt das da natürlich keiner an die große Glocke. Ich kenne einige Leute, die gesagt haben "ach nö, solang es nur wegen Fernzugriff ist update ich nicht, nutze ich nicht also hab ich nichts von dem Update". Die werden jetzt hoffentlich auch mal ihren Arsch bewegen.

Und da wurde zurecht nicht aktualisiert, da der Hersteller einfach nicht mit der Wahrheit herauskam. Sich dann mit den unfähigen Bullen herauszureden, ist wirklich das Billigste was man machen kann. Denn wenn man irgendwo garantiert keine Experten findet, dann da.