[Frage] 7390 - automatischer Updateversuch von heute Nacht?!

[BlueEx]

Moin,

warum auch immer war die Option für das automatsiche Update in meiner Fritzbox 7390 aktiv. Normalerweise ist die immer aus,aber ok.

Jedenfalls bekam ich heute Nacht eine Pusmail der 7390, dass ein Firmwareupdateversuch gescheitert ist. Die Box hatte sich auch neu gestartet.

Ich habe 06.51 (und keine Labor) installiert.

Bei AVM finde ich nichts neueres.

Hatte das noch jemand ?

 

[steve0564]

Jepp, ist bei mir genauso passiert in der Nacht zu Dienstag bei einer 7390 und 7490. Und ich habe die automatische Updatefunktion IMMER ausgeschaltet.... Nach dem Updatevorgang war diese Option eingeschaltet...

 

[BlueEx]

:shock: Ich war mir auch sicher, dass die Update-Funktion ausgeschaltet war!

Das ist ja echt krass...was und wie hat AVM denn da nur gemacht? Ist der Updatevorgang bei Dir auch gescheitert?

Habe eben ein Ticket bei AVM aufgemacht und nachgefragt, bin mal gespannt.

 

[MuP]

Vielleicht Massenhack ( neue Sicherheitslücke ! ) aller erreichbaren FBs ?

 

[PeterPawn]

Eher ein Fehler im FRITZ!OS ... daß die eingestellte Beschränkung beim Auto-Update einer 7390 ("nur Benachrichtigen") nicht wirklich funktioniert, hatten wir inzwischen mehrfach. Anfangs noch als "da hat wohl jemand seine Einstellungen nicht im Griff" abgetan, gibt es immer mehr Meldungen, daß FRITZ!Box-Besitzer der festen Überzeugung sind, die Einstellung korrekt gesetzt zu haben und trotzdem ein automatisches Update erhalten zu haben. Das konnte bisher AVM aber wohl noch nicht davon abhalten, weiterhin die Firmware-Updates auf die Boxen zu "pushen" und hier meine ich die Einstellungen zur "Dringlichkeit" des Updates, denn die wurden offensichtlich geändert, nachdem die 06.51 auch schon in den letzten 6 Monaten als "normales" Update signalisiert wurde.

Sollte die ältere Firmware bereits eine sein, bei der die Einstellungen unmittelbar vor dem Update noch einmal per E-Mail gesendet werden (das sollte bei >= 06.2x so sein), darf man sich auch nicht davon beirren lassen, wenn diese Sicherungsdatei behauptet, das automatische Update wäre zulässig gewesen (das passierte bei mir). Die zuvor gesicherte Datei mit den Einstellungen enthielt diese "Erlaubnis" nämlich nicht - entweder die Firmware ändert vor dem Auto-Update diese Einstellung versehentlich oder man darf an dieser Stelle wilde Verschwörungstheorien aufstellen, ob das Absicht sein könnte.

Fakt ist aber, daß auch FRITZ!Box-Besitzer dieses Zwangsupdate erhalten, die immer wieder behaupten, sie hätten das automatische Installieren untersagt. Die logische Konsequenz wäre es eigentlich, daß AVM jetzt wieder die Wichtigkeit des Updates herabstuft - aber offensichtlich interessiert das bei AVM niemanden wirklich.

Die Besitzer einer 7390 mit einem Freetz-Image haben dadurch allerdings ihrerseits zusätzlichen Arbeitsaufwand ... vielleicht sollte man mal versuchen, diesen Aufwand bei AVM geltend zu machen. Ich bin auch für aktuelle Firmware auf möglichst vielen Boxen ... aber ein derartiges "Zwangsupdate" ist einfach eine bodenlose Frechheit (bei mir hat es dann eben ein absichtlich nicht aktualisiertes System, auf dem ich für gewöhnlich alte Lücken teste, getroffen).

Die Standardeinstellung bei der Einführung dieser Funktion war es ohnehin, daß die Installation wichtiger Updates zugelassen war ... wenn das also ein Besitzer ganz bewußt auf "nur benachrichtigen" gestellt hat, kann man auch nicht davon ausgehen, daß ein solches Update im besten Interesse des Kunden wäre. Nein heißt nein ... alles andere ist Vergewaltigung (des Kunden).

 

[BlueEx]

Danke für die Info.

Wäre mal inressant für mich was AVM denn da versucht hat zu installieren denn wie erwähnt - bei mir ist es fehlgeschlagen. Ich habe die 6.51 und bei AVM gibts Stand jetzt nix offiziell neueres.

Da kann man schon einen Hals bekommen,wenn die einfach so auf meinem Router rumpfuschen.

 

[PeterPawn]

Dann müßtest Du mal selbst die Update-Abfrage machen, geht von jedem Linux-Host im Netzwerk, der Daten aus der FRITZ!Box heranziehen kann zum Zusammenbau der Abfrage.

http://www.ip-phone-forum.de/showthread.php?t=287657

Findet die Box dann kein Update, wäre die Frage, wen sie heute nacht befragt haben könnte, daß da angeblich doch eines gefunden wurde. Das sollte dieselbe Abfrage sein (zumindest dieselbe Datenbasis, vermutlich ein anderer Service, nämlich der alte "jason" anstelle des "juis") und da würde es mich schon wundern, wenn es nicht von AVM kam. Weil die Box selbst eigentlich auch die Signatur so einer Update-Information checken sollte und dann kann die eigentlich nur ein Angreifer senden, wenn er auch den Key zum Signieren hat - selbst wenn der "avm.de" umleiten könnte.

 

[Herm]

Ewetel hat auf meiner Fritzbox 7490 heute nacht die Firmware 06.61 installiert.

Das war eine freie Box...hoffentlich jetzt auch noch.
Die Firmware 06.61 gibt es bei AVM nicht für die Box.

Meldung im Log:
Der Dienstanbieter hat erfolreich Firmware für dieses Gerät
erneuert.

 

[PeterPawn]

Das war eine freie Box...hoffentlich jetzt auch noch.

Was heißt das jetzt genau? "Freie Box" heißt für viele ja auch nur, daß es sich um eine Box ohne Branding handelt - das schließt eine "provider additive"-Konfiguration ja noch nicht aus, wenn die Box dem Provider gehört.

Empörung (dann aber richtig, weil es ein Unding wäre - egal ob der ACS von EweTel in einer Kundenbox konfiguriert ist oder nicht) ist nur angesagt, wenn es kein "Zwangsrouter" vom Provider aus einem älteren Vertrag (vor dem 01.08.2016 geschlossen) und auch keine vom Provider verliehene Box ist.

Also bitte etwas genauer ... ansonsten ist "Schulterzucken" und "Na und ..." die logischere Reaktion.

 

[Herm]

Die Box hab ich vor 2 Jahren bei Reichelt gekauft...AVM kein "Zwangsrouter".
Die Updatefunktion (für den Dienstanbieter) hab ich erstmal ausgeschaltet.

 

[PeterPawn]

Dann würde ich mich so richtig bei EweTel beschweren ... mit ein wenig Druck kriegst Du ja vielleicht eine Entschädigung.

Das dürfte überhaupt nicht passieren ... ich kenne zwar die EweTel-AGB/-BGB nicht (und bei solchen regionalen Anbietern suche ich auch nicht), aber daß sich EweTel dort das Recht einräumt, die Kundengeräte mit veränderter Firmware zu bestücken, kann ich mir kaum vorstellen.

Die Frage der Haftung bei Fehlern und daraus resultierenden Schäden in so einer Firmware dürfte für jeden Anwalt ein wahres Festessen werden (wenn EweTel das Risiko auf den Kunden abwälzt) - auch wenn ich keiner bin, mit Haftung für solche Firmware (auch bei Änderungen durch mich selbst für Kunden) mußte ich mich ausreichend beschäftigen und nicht ganz umsonst habe ich eine Firmenhaftpflichtversicherung.

Ich kann mir auch kaum vorstellen, daß die AVM-Version 06.61 (wenn die in etwa erschienen sein müßte, kann man am Datum der Veröffentlichung der Quellen sehen, außerdem steht es in der Firmware) keine Lücken mehr enthält (einige sind ja nicht mal in den Laborversionen komplett gefixt) ... und auch wenn die in der Vorgängerversion vielleicht ebenso enthalten waren (vielleicht waren sie ja in dieser schwerer auszunutzen?), übernimmt EweTel mit der Installation der Firmware auch die Verantwortung für Folgeschäden.

Dabei wird es dann schon schwer zu erklären, man hätte ja nicht wissen können, daß die Firmware noch Fehler enthält - dazu müßte man schon sehr gründliche eigene Recherchen glaubhaft machen (und dann wüßte man um Probleme) und nicht einfach nur auf AVM verweisen. Daß auf deren Angaben nicht wirklich Verlaß ist, sollte auch EweTel (haben die nicht auch Kabelnetze?) spätestens seit dem vergangenen Freitag bekannt sein.

BTW ... was war eigentlich vorher installiert?

 

[Herm]

Die letzte Final 6.60 von Juli 2016.
Das Menü sieht aus wie immer....schöne neue BNG Welt.
Man braucht sich um nichts mehr kümmern...

Ich hoffe das Weihnachtsupdate von AVM lässt sich dann ohne Probleme
installieren.

- - - Aktualisiert - - -

Diese Firmware gibt es nichtmal auf der "Ewetel Firmwareseite".
Die 7490 Boxen von Ewetel sind aber sowieso "frei".
Aber einen Grund für das Update muss ja vorliegen..sonst hätten die das nicht
gemacht.

 

[PeterPawn]

@Herm:
Wie fit bist Du beim Auslesen der Firmware?

Ich wäre schwer an der installierten Firmware 06.61 interessiert (einfach um die Unterschiede zu erkennen).

Die als Beta-Version davor veröffentlichte Version ist die 33899 vom 05.07.2016 (auf service.avm.de, die offizielle Version hat die 33668) - wenn die 06.61 (eine info.txt fehlt sicherlich auch, wenn es kein Image gibt) auch die Revision 33899 hat, ist es nur "umbenannt".

Die Revision müßte eigentlich in der Seite "fritz.box/jason_boxinfo.xml" ersichtlich sein. Wenn es nur ein kleine Differenz in der Revision gibt, ist das vermutlich auch noch weitgehend identisch.

Aber wenn es 10 und mehr ist, wäre ich sehr daran interessiert.

AVM hält sich eben bei allen gemeldeten Problemen mehr als bedeckt - und wenn die Ansage von dort schon lautet: "Das müssen Sie eben selbst herausfinden, ob eine Lücke geschlossen wurde oder nicht." (kein Witz, habe ich schriftlich), dann bin ich da auch entsprechend hinterher.

Die deutlich angesagte Disclosure-Policy ist nunmehr (wenn AVM nicht kooperativ vorgehen will), beim Erscheinen einer gefixten Version auch die Lücke offenzulegen (oder irgendwann ab 90 Tage nach Meldung an AVM, wenn gar keine passende Reaktion (aka Bestätigung der Lücke) kommt) ... einfach auch als Argument, warum ein Update erforderlich ist.

Das kann dann jeder immer noch anhand der Beschreibung selbst entscheiden, ob er sich für angreifbar hält oder nicht. Solange sich AVM nur auf "Sicherheitsverbesserungen" festlegt, bleibt nichts anderes übrig, als das selbst zu ermitteln.

Ich würde mir dann auch überlegen, auf welchem Weg man die Firmware am besten auslesen könnte (wenn Du das nicht schon selbst wissen solltest), wenn Du mir Deine Skills und die vorhandenen Möglichkeiten (Windows, Linux, MacOS) verrätst. Es soll ja sogar Leute mit einem RasPi oder ähnlichem geben, da hätte ich dann auch ein passendes (Shell-)Paket für solche Aufgaben.

- - - Aktualisiert - - -

Nein, die sind eben nicht "frei", die haben in der Regel (so jedenfalls nach Berichten von EweTel-Kunden hier im Forum) eine providerspezifische Konfiguration voreingestellt. Wenn Du die eigene FRITZ!Box extra noch passend einstellen mußtest, damit der Provider sie konfiguriert, ist das auch wieder etwas anderes mit dem Update vom Provider ... dann hast Du Dich ja nach Kräften bemüht, daß der Provider "nichts merkt" von der eigenen FRITZ!Box.

 

[Herm]

fritz.box/jason_boxinfo.xml
j:BoxInfo><j:Name>FRITZ!Box 7490</j:Name><j:HW>185</j:HW><j:Version>113.06.61</j:Version><j:Revision>34364</j:Revision><j:Serial>xxxxxxxx/j:Serial><j:OEM>avm</j:OEM><j:Lang>de</j:Lang><j:Annex>B</j:Annex><j:Lab/><j:Country>049</j:Country><j:UpdateConfig>1</j:UpdateConfig></j:BoxInfo>

 

[PeterPawn]

Also 34364 - mein Interesse ist definitiv vorhanden. Besser nimmst Du aber die "Serial" oben wieder raus, ist die MAC-Adresse Deiner Box. Sieht zwar jenseits des DSLAM (und ein paar Diensten bei AVM bzw. dem ACS des Providers) auch keiner weiter, aber muß trotzdem nicht sein. Zumindest die letzten drei Octets mit "X" ausblenden.

- - - Aktualisiert - - -

OK, hast Du selbst bemerkt.

 

[Herm]

<Wie fit bist Du beim Auslesen der Firmware?
Nicht so fit ...(Win7)
Die Mühe wird sich aber nicht lohnen...kommt ja bald ein
W-Update.
Irgendwie hab ich das Gefühl das die Sicherheitslücke etwas grösser ist
wenn schon ein automatisches Update gemacht wird oder Ewetel war
angreifbar. (Seit fast 2 Jahren das erste "Zwangsupdate")

 

[PeterPawn]

1. Das würde sich zwar trotzdem lohnen - aber ich akzeptiere auch, daß Du es nicht machen willst.

2. Auch nach dem nächsten Update enthält Deine Box noch die 06.61 und dazu die neue Version.

3. Gerade wenn die Sicherheitslücke wirklich größer wäre, sollte man ja annehmen, daß AVM eine gefixte Version (die ja offensichtlich existiert) der Öffentlichkeit zur Verfügung stellt.

4. Wenn EweTel angreifbar war, warum beseitigt dann ein Firmware-Update der 7490 dieses Problem? Es gibt ja keinen spezifischen Teil in der Firmware für EweTel, höchstens in der Konfiguration.

Zumal es offenbar auch bei EweTel erst mal eine Weile herumlag ... die OpenSource-Pakete für die 06.61 sind vom 06.10.2016 und in der Regel veröffentlicht AVM die erst ein paar Wochen nach der Firmware. Die 06.60 stammt z.B. vom 05.07.2016, die zugehörigen Quellen vom 20.07.2016 (2 Wochen). Wenn man daraus schließt, daß die 06.61 von Mitte September ist, sind es ca. 8 Wochen, seitdem die Firmware von AVM an die Provider ging.

 

[BlueEx]

AVM hat mir als Antwort auf meine Anfrage geschrieben, dass sie das Problem nicht nachvollziehen können und ich soll Supportlogs schicken.

Ich habe die Telekom als Provider. Der Zwangsupdateversuch ist bisher nicht mehr aufgetreten.

 

[DickS]

Meldung im Log:
Der Dienstanbieter hat erfolreich Firmware für dieses Gerät
erneuert.

Kann eben auch die Telekom gewesen sein,die das Update gepushed haben....

 

[docbrown0_1]

Bin auch bei EWETEL und auch hier gabs das Zwangsupdate auf die Version 06.61. Kenne einen Mitarbeiter aus der Systemadminstration von denen und der sagte das es KEIN Sicherheitsupdate war, sondern irgendwas mit Verbindungseinstellungen der BOX.
Keine Ahnung. Wahrscheinlich wie die BOX mit dem ASAT kommuniziert. Vielleicht wurde auch der VDSL Treiber überarbeitet, aber die Version nicht geändert.

In dem Zusammenhang: Ich hatte vor dem Zwangsupdate tagelang Nachts resyncs, die vorher nie vorkamen.
Ich fress einen Besen, wenn die nicht intern was verändert haben.