[Problem] Achtung LCR Sicherheitsproblem mit aktueller Firmware 5.50 !!!

@Harald,

Bitte nimm den direkten Link zum LCR von der Fritzbox Login Seite weg!
Seit der 5.50er Firmware kommt man bei der Fernwartung direkt auf die Login-Page um sich zu authentifizieren, so als ob man von intern auf die Box zugreift. Die Fritzbox selbst ist über das (bei mir starke) Fernwartungspasswort gesichert, aber den LCR kann man mit dem (bei mir schwachen) internen Passwort direkt aufrufen. Manche Nutzer haben möglicherweise gar kein interens Passwort gesetzt...

Nochmal:
- Alle Versionen vor 5.50 fragen in einen extra Dialog den Fernwartwungs User/Passwort ab, BEVOR man die eigenliche Login Seite sieht.
- Seit Version 5.50 kommt man direkt auf die Login Seite, wo der Link zum LCR direkt angeklickt werden kann und dann nur das Fritzbox PW eingegeben werden muss.

Kurz: Der LCR Link muss von der Loginseite weg!

Gruss,
die Keule

Update:
Der LCR link läßt sich leider auch über die dyndns-Addresse im Format: https://meineAdresse.dyndns.org/cgi-bin/tsb/index.html direkt aufrufen.
Im Gegensatz zu den Versionen <5.50 erscheint der https-Passwort-Dialog nicht mehr. Damit ist das BoxPasswort der einzige Schutz, wenn es denn gesetzt ist.

Es wird immer besser:
Slebst wenn man das Fritzbox-Passwort ändert, um zum Beispiel ein stärkeres Passwort zu verwenden, kann man sich mit dem alten Passwort immernoch am LCR anmelden. Keine Ahnung, wie man das PW des LCR ändern kann/soll. Jedenfalls folgt es nicht mehr den Fritzbox Passwort!

Tieflieger schrieb:

@megakeule
Aber ich denke du hast das Passwort für den Benutzer und nicht das der Box geändert. Ich denke das der LCR das reine Fritzbox-Kennwort nutzt. Auch wenn es für den "normalen Zugang" deaktiviert wurde

Zum Vergrößern anklicken....

Nein, kann eigentlich nicht sein. Ich habe noch nicht auf das neue Login (Benutzername+Passwort) umgestellt. Ich benutze weiterhin das alte Schema, bei dem man intern nur nach dem Passwort gefragt wird. Dies ist das selbe Passwort das auch bei Telnet abgefragt wird.

Ich glaube langsam, der LCR hat noch ein weiteres Problem welches verhindert, dass Konfig-Änderungen gespeichert werden können. So wird bei mir weiterhin der LCR-Eintrag in der Menu-Struktur angezeigt, obwohl ich das angeschaltet habe und trotz reboot und cache-löschen. Kann sein, dass er aus dem gleichen Grund die Änderung des Boxpasswortes nicht berücksichtigt?

BurningCrash schrieb:

@megakeule
ich finde deinen Ton etwas eigenwillig mit leichtem Touch ins Unverschämte.
Bitte schreib etwas freundlicher.
Netter Umgangston herrscht hier und vorallem Harald gegenüber für seine tolle Arbeit.

Zum Vergrößern anklicken....

Ich finde deine Anschuldigungen weit unverschämter als meinen Ton. An dem kann ich nämlich so absolut gar nichts unverschämtes sehen und eigenwillig wird ja wohl noch nicht verboten sein, in diesem Forum, oder ist mir da was entgangen?

Im oberen Teil meines Posts antworte ich auf einen direkte Frage an mich und im unteren stelle ich fest, dass der LCR (bei mir) seit Version .50 Konfig-Änderungen ignoriert. Weder reagiert er auf das neue Fritzbox Passwort das ich gesetzt habe, noch entfernt er die Links, wenn ich den Haken bei den Einstellungen rausnehme. Das ist ein Bug der neu ist und solange Harald sich dazu nicht äussert, kann ich auch nicht wissen ob das Problem nur bei mir besteht oder ob es mit den AVM Änderungen zu tun hat.

Das neue Login-Verfahen hat AVM mittlerweile übrigens bestens dokumentiert.

Das man ein Sicherheitsproblem mit deutlichen, vieleicht etwas markigen Worten anspricht, ist ja hoffentlich in auch ein deinen Augen nicht unverschämt oder beleidigend. An keiner Stelle habe ich dabei irgendetwas gefordert!

Und wie ich meine Dyn-Dns Addresse "in die Welt posaune" das lass doch bitte auch meine Sache sein! Was für ein Schachsinn zu glauben die sollte/könnte man geheim halten...