Sicherheitslücke in Fritz!Box-Routern größer als angenommen (Update)

durch den aufruf einer schadhaften website können auf der box beliebige befehle ausgeführt werden, beim aufruf der webseite kann also entweder der vorhandene remotezugang aktiviert werden (was aber ersichtlich wäre) oder ein ganz eigener telnet/ssh daemon installiert werden der dann auf einem unbekannten port hört und sich so einen remotezugang verschaffen ohne dass, das erst mal ersichtlich ist...oder auch nur ein trojaner platzieren der passwörter u.ä. sammeln soll. Die möglichkeiten sind vielfälltig
 
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.
Und das funktioniert jetzt - trotz dem SecurityUpdate seitens AVM immernoch?
 
nein nach dem update nicht mehr, da funktioniert das auch nicht mehr wenn der remotezugang aktiviert ist.
 
Okay, das beruhigt mich. Bin bei sowas immer extrem paranoid weil relativ viele 'unwissende' Menschen hinter dieser Box haengen. ^^
 
Na dann lass mal lieber nicht die Frage in deinen Kopf, wie vertrauenswürdig ein Update ist, was die im Zweifelsfall kompromittierte Kiste selbst macht. Wer sagt denn, dass das Update überhaupt gemacht wurde und die Kiste dir nicht nur anzeigt, dass es gemacht wurde? Oder vielleicht wurde es gemacht, die Lücke ist auch zu, nur die weitere Hintertür, die der potentielle Angreifer sich erstellt hat, ist immer noch da?

Dummerweise kann man auf einer Fritzbox keine LiveCD booten und das System von Grund auf überprüfen. Extreme Paranoia und Blackbox-Plasterouter geht mal gar nicht zusammen.

Bis zur nächsten Meldung dann.
 
Zuletzt bearbeitet:
Also Boxen von Cisco und D-Link fallen aktuell auch...
Die Aktion von AVM alle betroffenen Boxen zu supporten, also auch die EOL, finde ich auch sehr gut. Aber irgendwie ist das für ich auch "zwangsläufig". Soviel Spielraum gabs da nicht. Den hat(te) Microsoft mit XP auch nicht...
Wobei natürlich NICHT JEDE Box von dem Fehler betroffen ist. Ich hab hier eine Email von AVM die in quasi eidesstaatlichen :) Manier versichert, daß eine 3070 von DEM Fehler nicht betroffen ist. Man sollte sich mit pansichen Pauschalisierungen nicht gleiuch überschlagen.

Die Art der Fehler oder die Geschichte mit den quasi-Klartext Passwörtern stimmt mich aber nicht optimistisch. Das entwickelt sich alles zu einer Plasterouter-Apokalypse. Wobei, gabs sowas nicht auch schon mehrmals bei namhaften 19" Kisten? ;)

Auch ein neuerer Modemtreiber der langsamer und nicht wenigstens stabiler ist, ist nicht akzeptabel. Das muß man mal GLASKLAR kommunizieren. Egal was der Entwickler sich dabei gedacht hat, er dachte schlicht falsch. Das muß er und jemand anderer im Team doch merken?? Oder den Treiber als noch Beta-Koponente ausweisen. Das stellt sonst das gesamte Managment der Softwarentwicklung irgendwie in Frage.
Das ist schon nah an lächerlich. Kann man leider nicht anders betitteln. Da spüre ich nichts von dem angeblich sonst peniblen-pingeligen german engineering. Oder gilt der nicht für Software?!

Kennwörter... Sichere... Hab ich 5x getippt, 5x hat sie es wortlos geschluckt und 5x hat mich eine Fritzbox nach dem Aufruf der Oberfläche gefragt, ob ich nicht eins vergeben will. WTF, ehrlich. Da sucht man sich einen Wolf im Netz bis man bei AVM die Seite findet wo es steht, daß sie kein § verarbeiten. Und die Anzahl der Zeichen? Unter Kennwort steht hier keine Anzahl. Steht erst unter Benutzername und SSID usw. Oder?
FRITZ!Box 7270-Hilfe - Zeichen für Kennwörter, Schlüssel und Namen
Mit 41 Zeichen hat es aber vor einigen Updates nicht funktioniert. Mit 30 schon, wenn man kein § nutzt.

Gut ist kein Drama, aber mal was dazu ausgeben nach der Bestätigung? Nichts. D.h. du vergibst ein Passwort, landest zurück auf der Oberfläche, du konfigurierst, machst zu/aus. Und bist fertig. Und hast nicht gemerkt, wenn du die Boxen nicht gut kennst, daß kein Kennwort vergeben ist.
Denn wenn sie es akzeptieren, mußt du es danach erst eingeben. Das muß man aber wissen, wenn man es nicht direkt selbst kontrolliert, und feststellt, daß sie wieder das Setzen eines Kennwortes vorschlägt. Alter Schwede...

p.s.:
Ich hab gestern aus dem Lab die v6 27674 (07.03) installiert. Auf einer 7270v3. Über die Hardware will ich nicht mehr meckern. Seitdem ich allen Prozessoren Zalman ZM-RHS1 verpasst habe und auf dem Roten paar der Schlitze der 7272 fein eingearbeitet habe läuft die über Stunden unter absoluten Vollast (testweise) auf allen connects stabil.
"Reiner" Download ist bei 6Mbit nahezu wie 3070 Index of / "Seitensurfen" ist dagegen kleinwenig lebendiger. Es schmerz also nichts, da sie auch unter Vollast weniger als die 3070 einbricht.

- - - Updated - - -

Damit das nicht einzeln so lang wird... Dazu noch:

Ich kann den Thesen von TCM so pauschal nicht zustimmen. Auch wenn ich mir ziemlich sicher bin, daß seine Umgebung CCC-sicher ist ;) Aber "layered security" sind mehrere Kisten mit vielfältigen Einstellungen. Da sind die Möglichkeiten Fehlkonfigurationen zu machen ungleich größer als bei einem Plasterouter.
Mit dem Unterschied, den größeren Mist kann bei der Konfig der Benutzer selbst bauen. Bei einem Plasterouter der Hersteller. Bei so einem kleinen Biotop an Hardware (Was es ja ist. Die vielen Modelle bedeuten nicht eine au der Sicht der Sicherheit ebenso große Imagevielfalt) und eben nur sehr wenigen Grundimages, darf ich das als Benutzer schon PER SE verlangen.
Grad AVM kann es sich einfach nicht erlauben hier einen Wald&Wiesen Mist wie CryptoCat und andere zu bauen.

Wie gesagt gibt es einige Sachen die hochkommen oder wieder aufgewärmt werden bei denen ich AVM empfehle das Softwaremanagment umzubauen. Es wurde sich in Post-Snowden-Ära auch aus geschäftlicher Sicht anbieten - anders argumentieren kann man heutzutage wohl eh nicht - sowas wie eine "fritzsicher, Adjektiv" Initiative zu fahren. Kein PR-Bullshit, sondern intern.

Dann kann man EIN Modell auch über Jahre verkaufen, wenn sich das bestätigt und rumspricht. 10 neue Funktionen pro 2 neue Modelle im Jahr braucht mittlerweile keine Sau mehr. Und auch auf SmartHome werde ich eher verzichten, wenn ich mir nicht sicher bin, daß der Student im Haus gegenüber zur besten Kika-Zeit vielleicht Pr0n auf meine Glotze streamen kann oder meine Heizung auf 60°C stellt.

ALLE Features einer Box sind nur Müll, falls die Firmware sicherheitstechnisch shice ist. Und wie es mir scheint sind nun die Routerhersteller dran. Da würde es sich anbieten NICHT hinterherzuhecheln, Hr. Faxel.

Die Konfig von TMC gefällt mir für die deutsche Botschaft in London :) aber wenn es sich zwingend anbietet soetwas in einer 4-Zimmer Wohnung zu fahren, um mit einem Rechner über LAN und einem über WLAN ins Internet zu gehen, dann ist das ein Zustand.
 
Die Art der Fehler oder die Geschichte mit den quasi-Klartext Passwörtern stimmt mich aber nicht optimistisch. Das entwickelt sich alles zu einer Plasterouter-Apokalypse.
Das richtig ärgerlich daran ist mMn eher, dass das schon immer so ist bei AVM. Ich meine, was für einen Grund - außer Dummheit und Faulheit - kann es geben, Passwörter im Klartext zu speichern? Mir fällt keiner ein.
 
Jein. Die Box speichert nur für sich selbst boxrelevante Passwörter. Wenn ich auf der Box an die Passwortdatei nur rankomme, wenn ich auf ihr schon eh als Root unterwegs bin, dann nutzen mir die Passwörter auch nichts mehr, denn ich brauch sie für nichts mehr.

Wenn man übers Netzwerk auf einen anderen Rechner kommt, dann ist es auch egal, ob man das Anmeldepasswort des laufenden Benutzers mit rausbekommt oder nicht. Man ist ja schond rauf.

Das ist also schon eine leicht andere Geschichte als z.B. bei einem Mehrbenutzer-Mailserver. Da jetzt gleich deswegen die absolute Dramaqueen zu schieben ist nicht sachlich (imho).

Hash mit Salz gehört aber irgendwie trotzdem zu den Basics und gutem Ton. Wenn man das gleich direkt macht, dann spart man Geld, denn dann braucht man keine Zeit dafür opfern, um sich Szenarien auszudenken ob das jetzt auf diesem oder jenem System Sinn macht oder nicht.
Und sich zusätzliches Gemecker ersparen, wenn die Leute sich noch zusätzlich darüber aufregen, wenn die Box an einer ganz anderen Stelle aufreisst.
 
Hardwareluxx setzt keine externen Werbe- und Tracking-Cookies ein. Auf unserer Webseite finden Sie nur noch Cookies nach berechtigtem Interesse (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) oder eigene funktionelle Cookies. Durch die Nutzung unserer Webseite erklären Sie sich damit einverstanden, dass wir diese Cookies setzen. Mehr Informationen und Möglichkeiten zur Einstellung unserer Cookies finden Sie in unserer Datenschutzerklärung.


Zurück
Oben Unten refresh