News Angriffe auf Fritz!Box-Router ohne Fernzugriff möglich

[TimDim]

Wie führe ich denn das Update durch?
Sorry für die doofe Frage.

 

[Morphy2k]

Welche Box hast du denn?

 

[ray1985]

Bei meiner 7170 geht es unter System --> Firmware-Update

Ging ganz unproblematisch und schnell

 

[TimDim]

Habe die 7360 SL.

 

[etking]

Gefundene Sicherheitslücken gehören immer und ausnahmslos sofort veröffentlicht, erst recht wenn das Update längst verfügbar ist denn jeder hat ein Recht auf die Wahrheit oder soll etwa weiter so getan werden als gäbe es die Lücke gar nicht damit die Anwender ungeschützt bleiben?

Die von Heise angewendete Methose der Patchanalyse bzw. oder des Vergleichs der Dateiänderungsdaten vor und nach dem Update könnte auch schon vorher von anderen für kriminelle Zwecke missbraucht worden sein, es handelt sich schließlich eine unter Hackern weit verbreitete Standardmethode.

 

[easy.2ci]

Sollte es nicht helfen, wenn ich alle meine Clients in das Gastnetz der Fritzbox hänge? Dieses kann ich ja so konfigurieren, daß keine Zugriffe auf die Fritzbox möglich sind.

Damit dürfte sich keinem meiner Clients Javascript Code unterschieben lassen, der im LAN ausgeführt werden kann.

 

[dMopp]

Mir ist nicht genau bekannt, WO die Schwachstelle bei der FB sitzt, daher kann ich es nicht 100% sagen, prinzipiell kann das aber helfen, ja ! (Im übrigen bin ich drauf und dran wir nen rasperry zu kaufen und den als router zu konfigurieren... so dass dann nur mittels ssh tunnel auf den Router komme, über den Pi... .. sollte gegen XSS helfen)

 

[Schnitzel_12000]

Kann jemand was dazu sagen ob WPS bei der 7320 erhalten bleibt?
Bei den bisher veröffentlichen Updates war das nämlich nicht der Fall.
Wenn dem nicht so wird die Box faktisch Wertlos für mich.
In mein W-Lan Netzwerk ist nämlich jeweils eine 7240 und einer 7170 als Repaeater per WPS eingebunden.

 

[Toby-ch]

Naja es ist eine Sache über die Webseite die Daten der FritzBox auf eigenen Server zu kopieren, ohne Fernzugriff kommt man trotzdem nur aus dem LAN auf die Fritz!Box, aber nicht von außen.

Wer richtet sich schon einen Fernzugriff auf die Box ein? ( MayFrizbox) das geht doch viel einfacher via VPN oder ist das auch vom Lek betroffen ?

Kann jemand was dazu sagen ob WPS bei der 7320 erhalten bleibt?
Bei den bisher veröffentlichen Updates war das nämlich nicht der Fall.
Wenn dem nicht so wird die Box faktisch Wertlos für mich.
In mein W-Lan Netzwerk ist nämlich jeweils eine 7240 und einer 7170 als Repaeater per WPS eingebunden.

Da würde ich mal einen neuen Repeter kaufen gehen den WPS kan jede Oma knaken....

 

[Schnitzel_12000]

Sorry, ich mein natürlich WDS (Wireless Distribution System).
Wird es aber anscheinend nicht, damit fällt zumindest die 7170 aus.

den WPS kan jede Oma knaken....

Aber du liegst auch verkehrt, das was du meinst ist WPA.

 

[ToniMacaroni]

Ob die ganzen Backdoors bei diversen Routerherstellern alle Zufall sind? Oder ob die Geheimdienste da Druck ausgeübt haben?
Habe eben festgestellt, dass bei meinem W700V der Port 443 offen ist. Aber ob das eine Backdoor ist? Habe nix gefunden bisher...

 

[Amiga500]

wie kann man denn AVM telefonisch erreichen? bei mir sind die immer besetzt

 

[Autokiller677]

Habe die 7360 SL.

Auf der AVM Seite gibt es sogar ein Video, dass dir genau sagt, wo du klicken musst. Ansonsten hilft google.

 

[Simpson474]

Ich frag mich ja, wie lange so ein ARM-Ding an einem Hash rumrechnen muss. 1000 Jahre?

Wie lange ein ARM-Ding dafür benötigt, ist relativ egal: auch wenn die ganze Welt auf ARM basiert, die AVM Geräte basieren auf MIPS

Einzige Abhilfe: JS auf allen Geräten verbieten die hinterm Router hängen bis es gefixt ist.

Man bekommt keine genauen Informationen, aber ich würde fast mal davon ausgehen, dass kein Passwort für die Lücke nötig ist. Wenn wirklich bereits eine einfache Seitenabfrage ausreicht, so ist noch nicht einmal Javascript nötig - man kann den entsprechenden Request einfach per "<img>" Tag stellen (das erlaubt auch Cross-Domain Anfragen) - alles weitere kann man dann wahrscheinlich direkt per Shell-Script von der FRITZ!Box aus erreichen.

 

[Wilhelm14]

Wie führe ich denn das Update durch?

Habe die 7360 SL.

Über die Oberfläche http://192.168.178.1 automatisch suchen lassen: http://service.avm.de/support/de/SKB/FRITZ-Box-7360-SL/2:FRITZ-OS-Update-durchfuehren
Dort ist auch erklärt, wie du die Einstellungen vorher sicherst. Eventuell musst du den Router nach dem Update neu einrichten oder eben die Konfiguration zurück spielen. Bringe daher vorher die Internetzugangsdaten in Erfahrung und nicht erst dann, wenn der Router offline ist.

 

[Naddel_81]

Sorry, ich mein natürlich WDS (Wireless Distribution System).
Wird es aber anscheinend nicht, damit fällt zumindest die 7170 aus.


Aber du liegst auch verkehrt, das was du meinst ist WPA.

die Oma will ich sehen, die WPA knacken kann! hör bitte auf hier unwahrheiten zu promoten. jeder soll selbst entscheiden, ob er updatet oder nicht. fakt ist, dass die lücke lange offen stand (seit es die boxen gibt) und bis jetzt nur einige dutzend male genutzt wurde. so lange wir nichts genaueres wissen, muss daraus also geschlossen werden, dass sie längst nicht so leicht zu exploiten ist wie die panikmache der medien uns weiß machen will.

 

[Wilhelm14]

Sorry, ich mein natürlich WDS (Wireless Distribution System).
Wird es aber anscheinend nicht, damit fällt zumindest die 7170 aus.

Es gibt noch eine etwas ungewöhnliche Methode, sich vor dem Hack zu schützen. Man deaktivert das Webinterface via Telnet, indem man eine html löscht. Auf eigene Gefahr! http://www.heise.de/security/news/f...nd-aktivieren/forum-274943/msg-24803949/read/
Einmal eingerichtet, muss man eventuell nie wieder ans Interface ran.

 

[DerInventor]

Habe folgende Info über den Angriff gefunden:
Die FritzBox kann über das Web Interface ein Backup der Konfiguration erstellen. Dieses Backup enthält alle Passwörter.
Mit einem zugriff an eine bestimmte URL des Web Interfaces ist es möglich dieses Backup zu Downloaden (das geht ohne Passwort).
Wenn man jetzt eine präparierte Seite besucht kennt der Angreifer die IP Adresse der Box, und kann gleichzeitig mit einem Web Interface zugriff das Backup der Konfiguration bekommen. Danach kann sich der Angreifer über den Fernzugriff mit der Box verbinden.
Das ist besonders ausnutzbar wenn das Opfer keine dynamische IP Adresse hat.
Auch das Backup alleine ist ausnutzbar, deswegen wurde auch empfohlen alle passwörter zu ändern.
Wie man root rechte erhalten soll ist mir aber noch unklar.

 

[kryzs]

@DerInventor
- und das funktioniert trotz aktuellem Update (6.03/6.04)?
- der einzige Schütz wäre das deaktivieren der Web Oberfläche?

oh man das nimmt ja schon wieder Ausmaße an, an sich bin ich ja dankbar das solche Lücken an das Tageslicht kommen, aber so langsam kotz mich das an, man ist nur noch am aktualisieren, besser ist es wohl wenn man sich aus der Digitalengesellschaft verabschiedet.

 

[Naddel_81]

Habe folgende Info über den Angriff gefunden:
Die FritzBox kann über das Web Interface ein Backup der Konfiguration erstellen. Dieses Backup enthält alle Passwörter.
Mit einem zugriff an eine bestimmten URL des Web Interfaces ist es möglich dieses Backup zu Downloaden (das geht ohne Passwort).
Wenn man jetzt eine präparierte Seite besucht kennt der Angreifer die IP Adresse der Box, und kann gleichzeitig mit einem Web Interface zugriff das Backup der Konfiguration bekommen. Danach kann sich der Angreifer über den Fernzugriff mit der Box verbinden.
Das ist besonders ausnutzbar wenn das Opfer keine dynamische IP Adresse hat.
Auch das Backup alleine ist ausnutzbar, deswegen wurde auch empfohlen alle passwörter zu ändern.
Wie man root rechte erhalten soll ist mir aber noch unklar.

ganz so leicht ist es nicht. du beschreibst ja selber, dass man dazu root rechte braucht oder kenntnis um das passwort. also einfach "IP eingeben und dann den befehl" ist es hier also nicht.