[Info] 17.2.2014 Hack gegen AVM-Router auch ohne Fernzugang (heise.de)

voipd · 17 Feb 2014

Nachdem alle Welt geglaubt hat, dass der AVM Hack mit dem abstellen des Remotezugriffes, bzw. mit dem Update der Firmware erledigt sei, stellt sich heraus, dass man auch einen Angriff von innen auf die Fritzboxen machen kann.

Dementsprechend muessen sich evtl. auch die Nutzer von aelteren *) FritzBoxen nun Sorgen machen? Was tun? Wir alle wissen es noch nicht.
Edit 19.2.2014: Jetzt wissen wir es. Sie brauchen sich keine Sorgen machen. AVM hat eine Liste aller jeweils gebauter Fritzboxen mit Sicherheitsstatus veroeffentlicht. ~~Die Frage nach den OEM (Telekom) Boxen ist aber noch offen~~.
Edit: Vorlaeufige Antwort: heise.de 17.2.2013 17:24 Fritzbox-Lücke: Vier Speedport-Modelle der Telekom betroffen

Hier aber die Infos aus dem Internet:

heise.de: 17.02.2014 15:58: Jetzt Fritzbox aktualisieren! Hack gegen AVM-Router auch ohne Fernzugang

Die Analyse von heise Security beweist, dass keineswegs ein freigeschalteter Fernzugang erforderlich ist, um eine Fritzbox komplett zu kapern. Das kann im Prinzip eine einfache Web-Seite. Wer es noch nicht getan hat, sollte also schleunigst updaten.

avm.de: AVM Pressemitteilung von vor ein paar Minuten:

Sicherheits-Update für alle FRITZ!Box-Benutzer
In Medien- und Forenberichten wird aktuell über weitere mögliche Angriffswege auf die FRITZ!Box spekuliert. Aufgrund der laufenden Ermittlungen und um Nachahmungen zu vermeiden, kann AVM diese Berichte nicht kommentieren. Wie bereits informiert, fanden Angriffe auf die FRITZ!Box ausschließlich von außen über Port 443 statt. Nachdem die Angriffe bekannt wurden, hat AVM innerhalb weniger Stunden ein entsprechendes Sicherheits-Update für die FRITZ!Box bereitgestellt. Gleichzeitig wurde allen Anwendern, unabhängig vom aktivierten Fernzugriff, empfohlen, dieses Update durchzuführen. Es bietet den besten Schutz vor potenziellen Angriffen. Unter avm.de/sicherheit finden Sie Tipps zum Update und eine entsprechende Anleitung.

spiegel.de: Experten-Warnung: Fritzbox-Sicherheitslücke gefährlicher als gedacht

Wer es noch nicht getan hat, sollte spätestens jetzt seine Fritzbox aktualisieren. Die Sicherheitslücke in den beliebten Routern ist gefährlicher als bisher angenommen. Das bisher empfohlene Abschalten des Fernzugriffs genügt keineswegs, um Angriffe abzuwehren.

Das bisherige Thema, also der Port 433 (Fernzugriff) Hack wird hier Diskutiert: Telefonie-Missbrauch (anscheinend doch) Massenhack von AVMs Fritzboxen

Also bitte mal alle wachwerden die sich bisher nicht angesprochen gefuehlt hatten. :doktor: Edit 19.2.2014: Nach pruefen der AVM Liste und evtl. Update kann man sich nun wieder hinlegen.

voipd.

PS: Mit Novice so abgestimmt.

*) Aeltere Fritzboxen sind die Boxen die kein Update bekommen haben, aber auch OEM Boxen die beispielsweise von der Telekom vertrieben wurden.

fibco · 17 Feb 2014

War vorhin im ICE und - als ich gerade auf tagesschau.de die 20 Uhr Ausgabe 'nach-gucken' konnte - etwas überrascht, dass das dort kein Thema war ;-)

HabNeFritzbox · 17 Feb 2014

AVM hat ja auch keine Steuer hinterzogen und es ist ist ja kein Kanzleramt betroffen oder so.

Edit: Bei N24 gibt es was dazu.

Bleibt also erstmal nur abwarten, und schauen wann es weitere Fixes gibt. Immerhin macht AVM relativ Zeitnah etwas.

Centauri39 · 17 Feb 2014

Sind denn auch Fritzboxen ohne Fon-Funktion gefährdet?

Ich hab eine FB WLAN 3270 v3.

Inzwischen hab ich das Update drauf (auf 05.54), MyFritz ist deaktiviert, ebenso der Fernzugriff über HTTPS (Port 443).
Alle Passwörter sind geändert und einen Bereich "Telefonie" hab ich eh nicht (da war also auch nichts zu deaktivieren).

Und jetzt soll ich laut einem Schreiben von 1&1 bei denen anrufen, um gesperrte Auslands-Telefonate wieder zu entsperren.
Sollte mich das eigentlich interessieren, wenn ich eh nicht ins Ausland telefoniere?
Dann könnte ich die Sperrung doch behalten, oder?

Wenn die gewohnte E-Mail-Adresse und deren Passwort für MyFritz ungeeignet sind, was sollte man denn dann nehmen?
Mein E-Mail-Passwort ist auch schon geändert, natürlich auch überall, wo die Adresse zum Einsatz kommt.

EDIT:
Inzwischen hab ich den Fernzugriff und MyFritz wieder aktiviert, aber mit einem vom Standard-Port abweichenden Port und mit den zuvor beschriebenen Änderungen.
Ist das jetzt vorläufig ausreichend?

voipd · 17 Feb 2014

HabNeFritzbox schrieb:
AVM hat ja auch keine Steuer hinterzogen und es ist ist ja kein Kanzelamt betroffen oder so. Edit: Bei N24 gibt es was dazu.
Bleibt also erstmal nur abwarten, und schauen wann es weitere Fixes gibt. Immerhin macht AVM relativ Zeitnah etwas.

Stimmt, 10 Millionen Benutzer sind egal, solange es nicht Mutti trifft, aber was mich wirklich interessiert ist, welche Boxen betroffen sind.

Ehrlich gesagt verstehe ich, wenn man fuer die 10 Jahre alten Boxen kein Update bereitstellt, aber ich moechte "nur" wissen ob meine (betreuten) Boxen betroffen sind und ob es einen Workaround (evtl. manuelle Configaenderung) gibt. Wenn das zuegig passieren wuerde waere das schon prima

Anders gesagt: Muss ich handeln?

voipd.

Novize · 17 Feb 2014

Bitte beim Thema bleiben, sonst wird's schnell so unübersichtlich, wie im anderen Thread.

fibco · 17 Feb 2014

Ich find', bei der nun erschreckend großen Reichweite, ist das Posting von voipd mitten im Thema, mit Verlaub.

Edit: Sehe gerade, dass sich das vermutlich auf den zeitlichen Vor-Poster bezog.

Centauri39 · 17 Feb 2014

Alle Boxen, für die bei der Update-Prüfung ein verfügbares Update gemeldet wird, sind wohl auch betroffen.

Ich denke, mehr als das Update zu installieren und einen anderen Port für den Fernzugriff zu wählen, kann man eh nicht machen.
Natürlich sind auch noch alle Passwörter zu ändern.

Ansonsten hilft wohl nur die "Holzhammer-Methode", d.h. die FB abstöpseln und offline bleiben.

hans75 · 17 Feb 2014

Ich habe den Fernzugriff und alles was mit der Telefonfunktion zu tun hat schon immer entfernt gehabt (7170), das Update sollte ich trotzdem machen, oder?

Centauri39 · 17 Feb 2014

Ich würd's auf jeden Fall machen.

JanVoIP · 17 Feb 2014

Es gibt aber z.B. die 7240 für die es bislang kein Update gab. - Ich gehe trotzdem davon aus, dass sie gefährdet ist.

[Edit Novize: Gelöschten/zerstörten Beitrag wieder hergestellt - Threadvandalismus wird nicht geduldet]

voipd · 17 Feb 2014

7240?

Da gibt es sowohl das offizielle *.54 update, als auch ein Update der Beta auf 6.0.3-27396

voipd.

Novize · 17 Feb 2014

hans75 schrieb:
...das Update sollte ich trotzdem machen, oder?

Selbstverständlich, denn nach dem Statement von heise kann nun jeder Benutzerzugang, jedes Passwort, welches in Deiner Box schlummert ausgelesen werden - zumindest über gehackte Web-Sites von innen heraus!

Dann halt nicht mehr · 17 Feb 2014

Interessant:

Derzeit werden Boxen bis zum End of Manufacturing / End of Support in 2007 mit Updates versehen. Dabei sind alle neueren Reihen - die älteren aber bisher nur im Bereich der 7xxx - Serie. Keine Updates für 2xxx oder 5xxx .... Zufall? Bauartbedingt?

Centauri39 · 17 Feb 2014

Sind schon irgendwelche Seiten bekannt, die man besser meiden sollte?
Oder sind das Seiten, auf denen ein anständiger User eh nichts verloren hat?

Novize · 17 Feb 2014

Jede Seite, die entweder gehackt ist, die per Werbung (evtl gehackt) ihren Unterhalt verdient oder eh komisch ist.
Kurz: (Fast) Jede Web-Site kann es betreffen.

Spacefish · 17 Feb 2014

Ach kommt schon die heise Leute wollen nur etwas publicity.. Das von denen gezeigte Szenario ist nicht wirklich einfach durchführbar, da der Angreifer das Opfer erst auf eine Seite locken müsste, welche eine Ressource einbettet, da als Adresse für fritz.box/cgi-bin/sagichnet?parameter=shellcode enthält.

Das kann man mit wenigen machen indem man Bilder in Foren einbettet oder so. Aber die große masse erreicht man so nicht!

Centauri39 · 17 Feb 2014

@ Novize
Und wenn ich Werbung blocke (im Firefox mit ABP), könnte es mich trotzdem noch erwischen?

edward · 17 Feb 2014

Ich finde auch, dass jetzt etwas Panik von Medien verbreitet wird und diese Lücke zu hoch bewertet wird.

Wieviele User werden auf so eine präparierte Seite schon surfen? wenn die Hacker selbst aktiv werden konnten und sukzessiv IP's mit Fernwartung scannen.

Novize · 17 Feb 2014

Centauri39 schrieb:
Und wenn ich Werbung blocke (im Firefox mit ABP), könnte es mich trotzdem noch erwischen?

Klar doch, denn z.B. über einen gehackten Ad-Server oder einen gehackten Server-Zugang*) zur Website können die html-Dateien leicht modifiziert werden, um dann den "heise-Code" in abgewandelter Form zu enthalten.
Da hilft lt. diesem Foreneintrag von ju von heise noch nicht einmal das Addon "noscript" für den Firefox, weil sie betreffenden Infos direkt via html ausführbar sind.

@edward: Panik verbreiten ist vielleicht etwas über das Ziel hinaus geschossen.
Es ist bisher noch nicht in größerem Umfang Schaden angerichtet. Aber wenn sich die Lücke mit ihren Details weit genug herumgesprochen hat und entsprechende Hacks herum gehen, dann kann jeder bescheuerte Script-Kiddie das machen und da lauert dann eine recht große Gefahr...

*) Wieviele Seiten werden über das komfortable Plesk-Panel gewartet?
Dies ist in recht vielen Versionen gehackt und lässt sich leider nicht immer updaten. Diese Erfahrung habe ich von einigen Kunden und deren Admins berichtet bekommen. Irgendwann stellt der Hoster dann den Server kalt weil der laut deren Monitoring gehackt ist. Leider ist dann das Kind schon längst in den Brunnen gefallen, weil dieses Monitoring erst anschlägt, wenn die verdächtigen Aktivitäten deutlich messbar sind.
Wie gut, dass ich damit nichts mache sondern "nur" in anderen Bereichen aktiv bin...

[Info] 17.2.2014 Hack gegen AVM-Router auch ohne Fernzugang (heise.de)

IPPF-Promi

Mitglied

HabNeFritzbox

Guest

Mitglied

IPPF-Promi

Moderator

Mitglied

Mitglied

Neuer User

Mitglied

JanVoIP

Guest

IPPF-Promi

Moderator

IPPF-Promi

Mitglied

Moderator

Neuer User

Mitglied

Mitglied

Moderator

Statistik des Forums