News Cable Haunt: Schwachstelle macht Millionen Router angreifbar

[deo]

Das Problem hier ist eher das übliche, das Updates einfach zäh auf sich warten lassen...

In der Tat, denn für Designschwächen der Chiphersteller kann der Gerätehersteller nichts.
Was soll er aber machen, wenn Kabelanbieter darauf pochen, dass nur sie Firmwareupdates selbst freigeben und verteilen?

 

[Kenshin_01]

dann ist es kein reines modem, denn voice/fax laufen über voip.

Darüber können wir uns jetzt vermutlich den ganzen Abend die Rübe einhauen. Das Modem stellt die Verbindung her und trennt das ganze dann in die Entsprechenden Dienste Daten und VoIP. Daten werden durchgeschleust und Telefonie bleibt bzw. wird an die entpsrechenden Ausgänge geschalten.

Was soll er aber machen, wenn Kabelanbieter darauf pochen, dass nur sie Firmwareupdates selbst freigeben und verteilen?

Effektiv? Nix. Zum Trauerspiel für uns Kunden...

 

[0x8100]

Darüber können wir uns jetzt vermutlich den ganzen Abend die Rübe einhauen. Das Modem stellt die Verbindung her und trennt das ganze dann in die Entsprechenden Dienste Daten und VoIP. Daten werden durchgeschleust und Telefonie bleibt bzw. wird an die entpsrechenden Ausgänge geschalten.

eigentlich ist es recht eindeutig -> https://community.cablelabs.com/wik...d?id=5d455192-494b-4453-b998-e2eb1d4dcb64;1.0

"The CM MUST support 192.168.100.1, as the well-known diagnostic IP address accessible only from the
CMCI interfaces. The CM MUST support the well-known diagnostic IP address, 192.168.100.1, on all physical
interfaces associated with the CMCI." (seite 83)

die daten werden nicht nur durchgeschleust, es gibt immer ein interface auf kundenseite. ein kabelmodem ist nie nur eine reine bridge.

 

[Luxmanl525]

Hallo zusammen,

@ Oseberg

In der Vergangenheit war es oft so das AVM zu solch größeren Schwachstellen, die in verschiedenen Router-Produkten aufgetreten sind, eine kurze Pressemitteilung herausgegeben hat.

Der Vollständigkeit halber sollte man auch Erwähnen, wenn denn wirklich in der Vergangenheit ein Sicherheitsleck eruiert wurde bei AVM-Routern, dann haben die auch aber im Gegensatz zu den sonstigen Firmen sofort reagiert und die entsprechenden Lücken umgehend gefixt. Beim letzten Mal sogar über das Wochenende!

Bei anderen Firmen kannst du dann in solchen Fällen nur noch Beten darum, daß dein Router nicht schon zu alt ist. Das ist eben auch unter anderem noch der kleine, aber sehr feine Unterschied von AVM und den Konkurrenten, bei AVM wird man nicht vergessen, egal wie alt der Router ist.

So long....

 

[Kenshin_01]

die daten werden nicht nur durchgeschleust, es gibt immer ein interface auf kundenseite.

Schon klar, es muss manchmal (funktioniert aber mittlerweile zu 99%) die Startfrequenz manuell eingestellt werden. Das ist aber nur für entsprechende Techniker relevant. Im Bridge-Mode ist sonst nichts weiter möglich, das Gerät verhält sich ansonsten komplett transparent.
Aber diese Diskussion hat hier weiter nichts zu suchen, als BTT.

 

[camlo]

AVM ist kein gutes Beispiel, es gitb immer noch Geräte von denen die KRACK nciht gefixt haben.
Außerdem verheimlicht AVM Sicherheitsupdates und schreibt in den Changelogs nur was von "noch mehr stabiler"

 

[firexs]

Und wo ist das Problem nun? Wer schadcode in seinem eigenen lan ausführt, hat ganz andere Probleme, als ein kompromittierter Router..

 

[DerHotze]

@firexs

@DerHotze es reicht, eine beliebige webseite zu öffnen, die dann per javascript (was dann in deinem browser in deinem netz läuft) den exploit ausführt.

 

[vybz]

Hoffentlich gibt es mehr Rückmeldung zur Entwicklung der Lücke und Patches seitens der Hersteller, als damals bei VPN Filter, wo es kaum noch Infos gab nachdem das ganze bekannt wurde.

 

[deo]

AVM ist kein gutes Beispiel, es gitb immer noch Geräte von denen die KRACK nciht gefixt haben.

Jupp, meine blaue Fritzbox Fon WLAN aus 2005 wurde übergangen.

Dann nenne mal einen Router von AVM, der nicht gefixt wurde. Er muss aber noch Ende 2017 im Support sein, damit es fair ist.
https://avm.de/service/ende-des-produktsupports-und-der-produktweiterentwicklung/fritzbox/

 

[nciht]

wenn denn wirklich in der Vergangenheit ein Sicherheitsleck eruiert wurde bei AVM-Routern, dann haben die auch aber im Gegensatz zu den sonstigen Firmen sofort reagiert und die entsprechenden Lücken umgehend gefixt. Beim letzten Mal sogar über das Wochenende!

Ich behaupte mal vorsichtig:
Man kann auch davon ausgehen, dass bei Sicherheitslücken zuerst der Hersteller (z.B. AVM) aufgeklärt wird, bevor das ganze in die Öffentlichkeit getragen wird. Wer so eine Lücke findet hat i.d.R. ja nicht das Interesse, dass diese ausgenutzt wird und an die Öffentlichkeit zu gehen erhöht ja eigentlich das Risiko, dass genau das passiert. Das macht man deswegen eigentlich erst, wenn der Hersteller nicht reagiert hat um entsprechend Druck auf den auszuüben...

Sicherheitslücken können natürlich aber auch auf anderem Wege/Grund in die Öffentlichkeit gelangen.

 

[Egon82]

Hat jemand das Skript mal ausgeführt? Ich gehem al davon aus das der Disclaimer am Ende Standard ist. Würde das gerne testen aber nicht das das wirklich das Modem lahmlegen kann. (Vodafon Station....)

 

[nciht]

aber nicht das das wirklich das Modem lahmlegen kann.

Wenn das deinen Router komplett lahm legen sollte, kann man immerhin nicht mehr mitlesen, was du so machst... dann ergibt das Script nur noch wenig Sinn, bzw. wäre an deinem Router gescheitert ...

 

[CHnuschti]

@SV3N

Dänische Sicherheitsforscher haben eine Schwachstelle entdeckt, die allein in Europa schätzungsweise 200 Millionen Kabelrouter mit einem Chip von Broadcom betreffen und angreifbar machen soll. Über die Sicherheitslücke „Cable Haunt“ soll sich Schadcode auf betroffenen Routern und Modems ausführen lassen.

Zur News: Cable Haunt: Schwachstelle macht Millionen Router angreifbar

Je alarmistischer, desto besser? Die 200 Mio "Geräte" halte ich für sehr übertrieben. EU28 hat um die 200 Mio Haushalte, wie sollen da so viele Geräte mit dem einen Chip dort stehen? Unglaubwürdig, aber geeignet, die Entdecker zu überhöhen.

 

[maxpayne80]

Bridge Mode ftw

 

[Luxmanl525]

Hallo zusammen,

@ Aphelon

Ich behaupte mal vorsichtig:Man kann auch davon ausgehen, dass bei Sicherheitslücken zuerst der Hersteller (z.B. AVM) aufgeklärt wird, bevor das ganze in die Öffentlichkeit getragen wird.

Bei den letzten Sicherheitslücken berichteten vor allem Seiten wie Heise.de zuerst von den jeweiligen Lücken und welche Chips / Routerhardware davon betroffen ist. Bei manchen dauerte es Tage, bis mal jemand reagierte, manche wußten sogar schon lange davon und machten gar jahrelang nichts dagegen.

Hier ist definitiv AVM als vorbildlich zu Nennen, da diese in der Vergangenheit direkt reagierten. Schau doch nur mal, was sich regelmäßig die Telekom leistet. Wobei das kein direkter Hersteller ist, sondern fertigen läßt und unter eigenem Namen vertreibt bzw. für ihre Netze einsetzt.

Und das ist ja kein Einzelfall. Da gibt es Router / Modem`s, die je nach Alter gar nicht mehr gefixt werden. Und das ist eben bei AVM anders. Um nicht zu Sagen ganz anders. Ich will das aber nicht auf alles verallgemeinern, da AVM auch Segmente hat, wo sie verbesserungswürdig sind. Aber im Großen und Ganzen ist AVM in dem Aspekt vorbildlich. Vor allem wenn man manch andere Mitwettbewerber sieht.

So long....

 

[Cardhu]

Off-Topic:
Er denkt sich eigentlich immer diese hübsch designten Logos für die Sicherheitslücken aus? Die Angreifer wohl kaum

Wirklich wundern würde mich das nicht. Ich würde das machen, wenn ich so ne tolle Sicherheitslücke finde und illegal nutze Wäre da mächtig stolz drauf^^

 

[NOTAUS]

Danke für die Anleitung!

 

[alarm321]

Hat jemand das Skript mal ausgeführt? Ich gehem al davon aus das der Disclaimer am Ende Standard ist. Würde das gerne testen aber nicht das das wirklich das Modem lahmlegen kann. (Vodafon Station....)

Das Testscript sollte das Modem im Worst Case nur rebooten lassen. Ich halte es für unwahrscheinlich, dass mehr passiert. Hab das Testscript von github.com gerade gegen meinen Technicolor TC7200 laufen lassen und das Ergebnis war, dass er leider ebenfalls verwundbar ist. Er hat einfach nur gerebootet, so wie es das Script für verwundbare Geräte vorsieht.

 

[GenFox]

Technicolor....dass die Dinger doch noch schlechter sein könnten als ohnehin schon, hätte ich absolut nicht für möglich gehalten.