News Realtek RTL819xD: Schwachstelle in SoCs wird aktiv genutzt

[feinel]

AVM ist NICHT als betroffener Hersteller in der Liste geführt. Ist das korrekt oder steckt hinter AVM ein anderer Name als Router Hersteller?

Ne das passt schon so, AVM ist AVM. FRITZ!Boxen sind nicht betroffen. Das stünde da sicherlich auch deutlich im Artikel, wenn die betroffen wären. Davon gibt es zig Millionen.

 

[mae]

ein Update aufgrund von Sicherheitslücken ist weder in der Gewährleistung noch in der Garantie abgedeckt.

Sagt wer? Ich sehe die Sicherheitsluecke als Mangel, und zwar ein Konstruktionsfehler, der offensichtlich und beweisbar von Anfang an bestanden hat. Gewaehrleistung sollte auf jede Fall greifen, Produkthaftung auch.

 

[Draco Nobilis]

Ein Gesetz das Hersteller zur Wartung der Hardware und Software über Treiber, Updates bzw. Firmware verpflichtet wäre eine (viel zu) gute Idee für die EU.
Wäre ja gegen Obsoleszenz, gegen Elektroschrott und zur Sicherheit der Bürger.

 

[cansys]

Ne das passt schon so, AVM ist AVM. FRITZ!Boxen sind nicht betroffen. Das stünde da sicherlich auch deutlich im Artikel, wenn die betroffen wären. Davon gibt es zig Millionen.

Zur Produktion noch ein informativer Hinweis:
https://de.wikipedia.org/wiki/AVM_(Unternehmen)#Produktion_und_Firmware

 

[HeidBen]

Sagt wer? Ich sehe die Sicherheitsluecke als Mangel, und zwar ein Konstruktionsfehler, der offensichtlich und beweisbar von Anfang an bestanden hat. Gewaehrleistung sollte auf jede Fall greifen, Produkthaftung auch.

Dann hoffe ich das du keinen Smart TV hast, weil die auch Sicherheitslücken haben können, sowie viele andere Geräte auch.

Geht ja schon bei deinem Prozessor los, willste den jetzt Intel/AMD/Appel zurück geben, damit sie dir die neuste Firmware aufspielen, nur weil du dir zu fein dazu bist?

Der Bericht sagt klar aus, Update drauf und Problem erstmal abgemindert, das sollte jeder können der sich damit etwas beschäftigt.

Ps mein Text ist nicht angreifend gemeint, auch wenn er sich so liest.

 

[mae]

Geht ja schon bei deinem Prozessor los, willste den jetzt Intel/AMD/Appel zurück geben, damit sie dir die neuste Firmware aufspielen, nur weil du dir zu fein dazu bist?

Das war nicht die Frage, sondern ob das von der Gewaehrleistung abgedeckt ist. Und das ist es. Und vom Produkthaftungsgesetz auch noch. Wobei bei Intel und AMD, die ihre Firmware ueber das Mainboard oder das Betriebssystem ausliefern lassen, die von anderen Herstellern kommen, es sicher eine rechtlich interessante Angelegenheit waere, wenn man Nachbesserung verlangen wuerde und man das Mainboard und Betriebssystem von einem anderen Haendler hat als den Prozessor.

Was das SmartTV betrifft, das habe ich tatsaechlich nicht, und will ich auch nicht.

 

[HeidBen]

Das war nicht die Frage, sondern ob das von der Gewaehrleistung abgedeckt ist.

Kann es nicht, weil es kein Mangel in dem Sinne ist. Weil wie gesagt bei allen anderen technischen Produkten wäre es ja dann genau so. Und glaub mir geh mit so einem Router zu MediaMarkt oder Saturn, die berechnen dir dafür entweder ein Endgelt oder tauschen es aus. Wenn sie es dir Abnehmen haste auch nicht viel davon, weil du dann ggf. eine Woche ohne Router da sitzt.

Ganz ehrlich, da mach ich das Update lieber selber, bevor ich damit zu einem Markt renne und im schlimmsten Fall noch Corona mitbringe

 

[AudioholicA]

Ich hatte für den Garten noch einen Dlink DIR-615 im Einsatz, schon etwas länger EoL, der nun ersetzt werden wird. Ich kann mir nicht vorstellen, dass es hierfür noch ein Update geben wird.
Es wäre schön von CB an dem Thema dran zu bleiben, und darüber zu berichten welche Router noch ein Update erhalten.

 

[Kleiner69]

Es wäre schön von CB an dem Thema dran zu bleiben, und darüber zu berichten welche Router noch ein Update erhalten.

Und ich fände es schön, wenn solche Themen auch mal wieder Tagesaktuell auf CB kommen würden.
Und nicht erst 10 Tage später, nachdem die meisten Medien schon am 16.08.21 darüber berichtet haben.

 

[AudioholicA]

Wenn du es doch seit 10 Tagen weißt, was hat dich daran gehindert eine kurze Mitteilung an die Redaktion abzusetzen? Die hätten sich mit Sicherheit dem Thema angenommen - wie nun auch.

 

[Kleiner69]

was hat dich daran gehindert eine kurze Mitteilung an die Redaktion abzusetzen?

Ich bin hier nicht angestellt.
Und 2. verbringe ich nicht mein gesamtes Leben auf CB, um zu kontrollieren, welche IT-Nachrichten hier noch fehlen oder vergessen wurden. Dann dass sind viel zu viele und mein Tag hat nur 24 Stunden.

 

[Gordon-1979]

Hier mal eine Liste mit den betroffenen Geräten:
https://winfuture.de/news,124781.html

 

[r4l]

Mit Dingen (Things) ist es wie mit Menschen: Die Welt wäre besser dran, wenn weniger im Internet wären.
Mehr Minimalismus wagen und weniger Konsum schont Nerven, Geldbeutel und Ressourcen.

weniger ist mehr passt leider nicht zum Kapitalistischen System, in dem wir leben

 

[Atkatla]

... (glauben heißt nicht wissen) ihre Daten wären in Sicherheit. Während das Transatlantische Datenkabel komplett mit protokolliert werden.

Witzig, dass du da gleich ein Beispiel für "Glauben heisst nicht wissen lieferst"

1. Es gibt kein "das Transatlantische Datenkabel". Es gibt sehr viele davon, die von vielen Ländern auf der einen Seite zu vielen Ländern auf der anderen Seite gehen.
2. Ein komplettes Protokollieren aller Daten würde jedes exisiterende Speichersystem überfordern. Es wäre auch schwachsinnig, z.B. jeden Videostream zu jedem Nutzer noch mal mitzuscheiden und zu sichern.
3. Daher konzentriert man sich auf Metadaten und nur bei interessanten Endpunkten evtl auf ein Mitschneiden, sofern man als Dienst Zugang hat.
4. Der Zugriff auf bestimmte CIXe deckt nur einen Bruchteil der Kommunikation ab. aber auch die US-Dienste haben eben nicht Zugriff auf alle CIXe in allen Ländern. Viele denken, alles würde hier z.B. über den DeCIX laufen. Aber er ist nur der größte, einer von vielen.

 

[wern001]

Witzig, dass du da gleich ein Beispiel für "Glauben heisst nicht wissen lieferst"

1. Es gibt kein "das Transatlantische Datenkabel". Es gibt sehr viele davon, die von vielen Ländern auf der einen Seite zu vielen Ländern auf der anderen Seite gehen.
2. Ein komplettes Protokollieren aller Daten würde jedes exisiterende Speichersystem überfordern. Es wäre auch schwachsinnig, z.B. jeden Videostream zu jedem Nutzer noch mal mitzuscheiden und zu sichern.
3. Daher konzentriert man sich auf Metadaten und nur bei interessanten Endpunkten evtl auf ein Mitschneiden, sofern man als Dienst Zugang hat.
4. Der Zugriff auf bestimmte CIXe deckt nur einen Bruchteil der Kommunikation ab. aber auch die US-Dienste haben eben nicht Zugriff auf alle CIXe in allen Ländern. Viele denken, alles würde hier z.B. über den DeCIX laufen. Aber er ist nur der größte, einer von vielen.

Ich weiß das es mehrere Kabel gibt. Des weiteren bedeutet Protokollieren nicht das eine 1:1 kopie aller daten angelegt wird. Protokollieren bedeutet doch nichts anderes als Metadaten sammeln.
Wieviel genau abgegriffen wird weiß niemand genau.
Das Beste war doch google selbst. Daten von User zu Server in DE verschlüsselt | Daten von Google-Server DE nach Google-Server UAS unverschlüsselt.
Ein Schelm wer dabei böses denkt.

 

[mae]

Kann es nicht, weil es kein Mangel in dem Sinne ist. Weil wie gesagt bei allen anderen technischen Produkten wäre es ja dann genau so.

Ja, es ist bei anderen technischen Geraeten auch so.

Und glaub mir geh mit so einem Router zu MediaMarkt oder Saturn, die berechnen dir dafür entweder ein Endgelt oder tauschen es aus.

Wenn Sie es austauschen, dann sehen sie das offenbar als Gewaehrleistungsfall oder als Produkthaftungsfall. Wenn sie Geld verlangen, glauben sie vielleicht, dass es solcher Fall ist, oder sie glauben, sie kommen damit durch.

Ganz ehrlich, da mach ich das Update lieber selber, bevor ich damit zu einem Markt renne und im schlimmsten Fall noch Corona mitbringe

Das aendert nichts an der rechtlichen Situation.

 

[chithanh]

ein Update aufgrund von Sicherheitslücken ist weder in der Gewährleistung noch in der Garantie abgedeckt.

Sagt wer? Ich sehe die Sicherheitsluecke als Mangel, und zwar ein Konstruktionsfehler, der offensichtlich und beweisbar von Anfang an bestanden hat.

Das war nicht die Frage, sondern ob das von der Gewaehrleistung abgedeckt ist.

Das dachte ich früher auch, aber inzwischen bin ich mir nicht mehr so sicher. Damit es ein Mangel ist, muss es aber auch von der üblichen Beschaffenheit solcher Produkte abweichen. Üblich in Software sind aber bis zu 25 defects per KLOC, die auch sicherheitsrelevant sein können. Wenn der Hersteller also nicht noch weitere Zusicherungen (etwa Werbeversprechen: "schützt ihre Daten vor Hackern" usw.) oder Updategarantien gemacht hatte, wird es schwierig hier eine Nachbesserung auf Gewährleistung durchzusetzen.

Und das ist es. Und vom Produkthaftungsgesetz auch noch.

Produkthaftung kommt wohl am ehesten in Frage, vor allem wenn das Gerät mit der Lücke zu einem Teil eines Botnetzes werden könnte.

 

[IBISXI]

Wie kann man sich das vorstellen?

Wenn ich von Internet aus erreichbar bin, betrifft es dann nur den ersten Netzwerkport? (Router WAN)

Oder ist es auch ein Problem wenn ich eine Portweiterleitung an ein Realtek Gerät habe?

 

[Waller]

Für Updates kannst du zwar den Verkäufer verantwortlich machen, dass kostet dann aber eine kleine Gebühr denn ein Update aufgrund von Sicherheitslücken ist weder in der Gewährleistung noch in der Garantie abgedeckt.

Eine Firma die für Sicherheitspatches Geld verlangt…. da würde ich sofort einen dicken Bogen drum machen.

Abgesehen davon bin ich mir bei Sicherheitslücken nicht sicher, dass dieses Argument auch so gilt, weil das Produkt mit der Sicherheitslücke schließlich einen Fehler aufweist.
Sollte sicher der Hersteller weigern, updates unentgeltlich zu verteilen und ich oder mein Produkt kommt zu Schaden, könnte man evtl sogar Schadensersatz vom Unternehmen fordern.

Auch muss man sagen, dass es gefährlich sein kann das Gerät nach einem Hack überhaupt noch im eigenen Netzwerk einzuschalten. Damit ist das gerät meiner Meinung nach defekt, weil nicht mehr zu gebrauchen!!!

 

[deo]

AVM verbauen SoC von Intel und ARM

Der Puma 7 in den Kabelboxen ist ein 2000MHz Dual Core ATOM CE2752 + xxxMHz ARM6 DOCSIS 3.1 SoC
https://boxmatrix.info/wiki/Property:Puma7

Von Realtek sehe ich hier nichts:
https://boxmatrix.info/wiki/SoC-Chips