News AVM Fritz!Box: Fritz!OS 7.57 und 7.31 schließen ausgenutzte Sicherheitslücke

[truetone]

Konnte man die Geschwindigkeiten sonst nicht einstellen oder wie?
Im Experten-Modus ging das bei uns (Vodafone) immer

 

[Bits&Bytes]

Sehr wahrscheinlich reiner Zufall

Wenn, dann ist das ein sehr seltsamer Zufall. Exakt mit Aufspielen der 7.57 (vorher 7.29) ging der Anschluss wieder.
Ich vermute, das die Sicherheitslücke viel größer als gedacht ist. Warum behält sich AVM so bedeckt und gibt keine Infos raus, nicht die kleinste Info. Warum daten Provider ihre Mietboxen auf einmal so zeitnah, wo sie sonst Monate brauchen. Da steckt mehr dahinter. Genaueres werden wir erst wissen, wenn AVM oder Provider uns mit Infos versorgen.

 

[Engaged]

Möglicherweise hatte er den expertenmodus nicht an, welcher mit aktueller Firmware ja so gar nicht mehr existiert, und ab jetzt sowieso immer an ist (eh schwachsinn das Sachen ausgeblendet waren).

 

[aklaa]

Konnte man die Geschwindigkeiten sonst nicht einstellen oder wie?
Im Experten-Modus ging das bei uns (Vodafone) immer

nein bei O2 ging das leider mit der 7.29 gar nicht. Alles war automatisch auf schreckliche 100mbit abgeriegelt

 

[TomH22]

Exakt mit Aufspielen der 7.57 (vorher 7.29) ging der Anschluss wieder.

Naja, das Update hat ja einen Reboot ausgelöst. Wie häufig kommt es vor, das Geräte nach einem Reboot wieder besser laufen?

Warum behält sich AVM so bedeckt und gibt keine Infos raus, nicht die kleinste Info.

Das ist ganz normal wenn eine Sicherheitslücke schon ausgenutzt wird, oder leicht ausgenutzt werden kann. Allein die Tatsache, das es Updates gibt, zieht schon mehr Aufmerksamkeit auf sich, als man eigentlich möchte. Auch von AVM unabhängige Personen/Gruppen, die mehr über diese Lücke wissen, werden sich im Rahmen des „responsible Disclosure“ bedeckt halten.

Solche Ereginisse passieren eigentlich sehr häufig, Apple hat z.B. gestern auch ein Notfall-Patch in genau dieser Weise veröffentlicht:

https://www.heise.de/news/NSO-Group...-iPhone-iPad-Mac-und-Apple-Watch-9298564.html

Es fällt bei AVM nur in besonderer Weise auf, weil so etwas bei den Fritzboxen sehr selten vorkommt. Bei Apple und Micrsoft, oder auch Webbrowsern passiert sowas deutlich häufiger.

 

[Bits&Bytes]

Naja, das Update hat ja einen Reboot ausgelöst. Wie häufig kommt es vor, das Geräte nach einem Reboot wieder besser laufen?

Ich hatte die Fritte in den letzten 2 Tagen ziemlich oft neu gestartet, ohne Besserung.

 

[loskexos]

Meine 1750e Repeater haben mittlerweile auch ein Update.
Bin gespannt was dahinter steckt. Das da noch keine techn. Details veroeffentlicht werden liegt in der Natur der Sache und ist richtig. Wichtig fuer mich als Kunde ist, dass selbst uralte Geraete noch Updates bekommen haben.

 

[wildfly]

Mittlerweile hat aber auch das BSI die vermutete Sicherheitslücke in ihre CERT-Bund-Liste ([WID-SEC-2023-2262] AVM FRITZ!Box: Schwachstelle ermöglicht nicht spezifizierten Angriff) aufgenommen. Die Cybersicherheitsbehörde stuft demnach das Risiko derzeit mit einem CVSS-Wert von 7.1 als hoch ein. Deshalb sollte man nicht auf das automatische Aufspielen des Updates warten, sondern es bereits jetzt manuell anzustoßen.

 

[DonSerious]

die es hinbekommen das Webinterface eines Fritz Repeaters vom Internet aus zugänglich zu haben.

Ja aber im Standardfall ist es nicht so. Ich will nur etwas die Hektik aus dem Thema nehmen. Hier lesen auch andere Leute mit die sich darüber Sorgen machen und für die bei der die Box offline ist hat es keine Auswirkung auf den Repeater. Selbst wenn die Box online wäre auch nur die Box. Für dein genanntes Szenario muss schon bewusst der repeater erreichbar sein.

Ich habe gerade mal in meinem repeater geschaut, dort kann ich das Webinterface nicht online stellen.

Der repeater übernimmt exakt die settings der Box beim einrichten bis auf das Passwort. Somit auch die nicht Erreichbarkeit über https. So etwas muss über die Box geändert werden damit es synchron auf den Repeatern im Mesh übernommen wird. Alles andere wäre sinnfrei.

Gruss

 

[Icepick104]

Guten Morgen in die Runde,

bei meinem "eigenen" Gerät 6820 LTE ist auch das Update auf 7.57 erfolgt. Wann das genau passiert ist, kann ich leider nicht sagen.

Ich habe aber eine Frage in die Runde, ob ihr (vielleicht zufällig) mit dem Update Probleme habt, euren Chromecast zu verbinden? Bei mir erscheint immer die Meldung "Netzwerkproblem, überprüfe deinen Router"?

Folgendes habe ich schon probiert:

• Werkseinstellung der Fritzbox wiederhergestellt, Version war dann schon 7.57
• Werkseinstellung des Chromecasts (inkl. 2ten Chromecast probiert, komplette Neueinrichtung via Google Home)
• Funkkanal manuell zugewiesen (hab gelesen, es gibt wohl Probleme mit Kanal 12 + Kanal 13, die erkannt der Chromecast nicht)

Und wie immer bei Technik - ich hab nix verändert, Donnerstag Abend ging alles noch problemlos :-(

Ich hoffe jemand kann mir helfen und danke euch :-)

LG Icepick

 

[TomH22]

@Icepick104 : Erscheint der Chromecast denn in der Fritzbox Mesh Übersicht?
Falls ja: Weder der Chromecast, noch das Gerät was zugreifen möchte, darf im Gastnetz liegen. Man kann in den Netzwerk Details auch sehen, welche IP Adresse der Chromecast bekommen hat. Diese muss standardmäßig mit 192.168.178 beginnen.
Diese solltest du mal von einem PC aus anpingen. Wenn das klappt, liegt es mit Sicherheit nicht an der Fritzbox.

 

[Blaze1987]

Bin ja mal gespannt, ob mit dem Update die Zugriffsversuche über 443 aufhören.

Ich hatte so viele externe fehlgeschlage Zugriffs - Versuche im Fritz System Log, das sich irgendwann die Internetverbindung / Router aufgehangen hat (wie bei einer DDos Attacke).

Seitdem musste ich den externen Zugriff unterbinden.

Mein ISP wollte die IP Adressen dazu nicht blockieren, daher blieb mir keine Wahl, als den Zugriff über das Internet zu deaktivieren.

 

[Engaged]

Wofür machst du auch die fritz!box-oberfläche von außen erreichbar, das war auch schon vor der sicherheitslücke ein sicherheitsrisiko.
Wenn du von außen auf deine Box möchtest, dann richte dir einfach eine VPN Verbindung ein und gut ist.
Gerade mal bei mir geschaut, ich habe zum Glück nicht solche Einträge in meiner Log.

Ergänzung (11. September 2023)

Ich habe aber eine Frage in die Runde, ob ihr (vielleicht zufällig) mit dem Update Probleme habt, euren Chromecast zu verbinden? Bei mir erscheint immer die Meldung "Netzwerkproblem, überprüfe deinen Router"?

7590, 7.57, Chromecast Audio an Amazon LAN Adapter, es läuft gerade Musik von meinem Plex Server.
Und habe auch schon die Tage im Garten mit meinem JBL Link portable (Built-in Chromecast Audio) Musik von TuneIn gehört, ist dort per WLAN am AP 3000 auch mit 7.57.

 

[Purche]

Genau. Aber im Prinzip zeigen diese Logmeldungen ja, dass die FritBox genau tut, was sie soll. Das ist ja, als wenn man in der Nähe einer Partymeile in nem Reihenhaus wohnt und man regelmäßig auf der Überwachungskamera feststellen muss, dass fast jede Nacht irgendwelche Besoffenen mit ihrem Schlüsselbund am Schloss rumprokeln, eh sie dann unverrichteter Dinge weiterziehen. Wenn einen das stört, obwohl die Haustür ja hoffentlich sicher ist, dann wäre es eine "wirksame" Lösung, die Tür zuzumauern. Zumindest wenn man dafür eine sinnvolle Begründung findet. Etwa weil man sie selbst gar nicht braucht - da man eh nie raus geht oder Besuch empfängt - (alle öffentlichen Ports schließen) oder eine andere Lösung gefunden hat - z.B. indem man selbst nur noch hinten durch den Garten reingeht (WireGuard)

Den Provider zu bitten, alle Internet-Zugriffe auf den Port zu blockieren ist aber eher, als wenn man den Hausmeister auffordern würde, das Hoftor mit dem dicksten Abus-Schloss dauerhaft zuzuketten, da man es selbst nicht hinbekommt, einfach den Schlüssel an der Haustür umzudrehen...

 

[wildfly]

FRITZ!Box 7590 AX, 7530 AX und 6690 Cable haben in den Vergleichstests von Stiftung Warentest (2/2023) in der Kategorie Sicherheit "sehr gut" erhalten.

 

[Tom345]

Ich hatte so viele externe fehlgeschlage Zugriffs - Versuche im Fritz System Log, das sich irgendwann die Internetverbindung / Router aufgehangen hat (wie bei einer DDos Attacke).

Die FB bietet doch mit Wireguard ein gutes Tool um nur noch per VPN von außen drauf zuzugreifen. Du kannst überall, den Haken für den Fernzugriff rausnehmen wenn du dass verwendest. Dann noch keinen 0815 Anmeldenamen und ein starkes Passwort verwenden und du solltest "safe" sein.

Seit ich dass so eingerichtet habe kann ich bei mir seit Monaten keine Anmeldeversuche mehr im Log der FB finden
VG

 

[wildfly]

WireGuard wird oft positiver bewertet als OpenVPN und IPSec, aber es gibt kein perfektes VPN-Protokoll – und auch WireGuard ist keines. Zwar wurden bisher keine größeren Schwachstellen festgestellt, aber es handelt sich noch um ein relativ junges VPN-Protokoll, sodass kritische Sicherheitslücken noch entdeckt werden könnten.

 

[Blaze1987]

Den Provider zu bitten, alle Internet-Zugriffe auf den Port zu blockieren ist aber eher, als wenn man den Hausmeister auffordern würde, das Hoftor mit dem dicksten Abus-Schloss dauerhaft zuzuketten, da man es selbst nicht hinbekommt, einfach den Schlüssel an der Haustür umzudrehen...

Wer hat denn von allen IPs gesprochen?

Ich habe die Logs weitergeleitet und die dazu gehörigen Domänen und IPs explizit benannt.

Als Workaround habe ich den Dienst dann deaktiviert.

Aber wenn ein Storm von Anmeldeversuchen möglich war (immer selbe source IPs!), ist das einfach nicht gut gewesen / nicht schlau abgesichertet worden.

Es geht nicht um die allgemeine Erreichbarkeit des Services, den zu unterbinden oder via VPN abzusichern.

@tom3: "Dann noch keinen 0815 Anmeldenamen und ein starkes Passwort verwenden und du solltest "safe" sein."

Das war m ist der Fall. Sonst wären die jenigen ja auch rein gekommen, anstatt es dauerhaft versuchen zu wollen.

VPN ist schön und gut, jedoch erfodert es einen Client und meist ein Zertifikat.

Das der Port / die Fritzbox von außen erreichbar ist, war vorher noch nie ein Problem.

Jedoch das wahrscheinlich ein Port Scan möglich war (welcher Service dahinter war), war einfach nicht regulär / Sicherheitstechnich korrekt.

In den Update Release Notes wird die Sicherheitslücke nicht explizit benannt.

Das soll daran liegen, daß AVM abwarten will, dass die meisten ISPs / Kunden das Update vorher eingespielt haben.

 

[Tom345]

VPN ist schön und gut, jedoch erfodert es einen Client und meist ein Zertifikat.

Das der Port / die Fritzbox von außen erreichbar ist, war vorher noch nie ein Problem.

Mehr Sicherheit gibt es eben nur mit mehr Aufwand und ein paar Komforteinbußen. Dass ist wie am Flughafen.

 

[Purche]

Zumal das ein HTML Loginformular ist. Wenn der legitime Nutzer sich einloggt, verbindet er sich auf dem SSL Port und erhält zunächst die Webseite mit dem Login Formular. Erst durch Eingabe der korrekten Kombination aus Nutzername und Passwort weiß die Fritzbox dass es der legitime Nutzer ist. Sprich, wenn ein Crawler vorbei kommt und sich beim Abklappern der Ports irgendwann mit diesem verbindet, bekommt der natürlich auch das Login Formular (könnte ja der legitime Nutzer sein). Sprich Portscans zu blockieren und gleichzeitig dem Nutzer den Login zu ermöglichen geht nicht ohne weiteres.

Quasi wie beim Briefkasten. Den kann ich zuschrauben, damit keiner mehr Werbung einwirft, aber dann bekomme ich auch keine erwünschte Post mehr. Oder ich lasse ihn offen, dann wird ab und zu auch Werbung drin liegen. Den Briefkastenhersteller anzuzählen, er möge den Briefkasten bitte so bauen, dass es nur möglich ist gewünschte Post einzuwerfen, wird vermutlich nicht von Erfolg gekrönt sein...