AVM Sicherheitslücke - Testseite

[RAMler]

Die neuste heise Meldung sollte hier ja schon bekannt sein.

Weiß hier jemand wie es sich bei 1&1 mit den Rufnummern verhält? Können diese von außen missbraucht werden, auch wenn sie bei einer anderen Box aktiviert/aktiv sind?

 

[SF1975]

Hallo,
Da es ein Softphone von 1&1 gibt: wahrscheinlich. Also sperre alle entsprechenden Rufnummern (inkl. Ausland) im CC von 1&1!!

 

[tim70]

meine 1und1 nummern funktionieren auch nomadisch.

T-Com sollte nomadisch nicht funktionieren - bin aber nicht 100% sicher.
Wie sieht es bei Vodafone / Alice / O2 usw aus?

 

[HabNeFritzbox]

Schön fürs 1&1 Softphone, kannst aber jeden x-beliebigen VoIP Client verwenden, egal ob Software, App oder Tischtelefon.

Ist doch bekannt bei 1&1, dass man sich mehrfach gleichzeitig von überall anmelden kann. Und einige Kunden wollen es doch sogar so, mit Sipgate und co bist ja auch nicht auf ein Gerät bzw. Anschluss fixiert.

Würde es aber auch begrüßen, wenn man es nur vom eigenen DSL Anschluss nutzen kann. Wenn ich von Unterwegs mit 1&1 VoIP Telefoniere dann mit AVM App und VPN zur FB Zuhause. Sonst wäre Gespräch im fremden Netzen ggf. abhörbar am Hotspot da unverschlüsselt.

 

[RAMler]

@SF1975:

Sperren, wieso sperren? Wollte die PWs ändern ect. und wusste bis eben nicht einmal, dass 1&1 das erlaubt.

Aber der Clou kommt nu. Es geht nicht um meinen Anschluss, sondern den meiner Schwester. Diese ist aktuell auf einer Konferenz und man kann im ControlCenter die VoIP Passwörter ect. nur vom Heimanschluss aus ändern. Sicherheitsfeature von 1&1.

Also abwarten und hoffen das es in der Zwischenzeit nicht knallt.

@HabNeFritzbox:

Bin bei VoIP nicht wirklich fit, daher eine Frage zur nomadischen Nutzung. Werden die Logindaten an die Server wenigstens verschlüsselt übertragen? (Das die VPN Lösung die einzig richtige ist, ist mir bewusst. )

 

[informerex]

die 1&1 VoIP Anmeldung usw. geht nomadisch, lediglich die Basis-Einstellungen müssen über den direkten Anschluss erfolgen.

 

[erik]

Damit habe ich ein Problem, denn ich habe von 1+1 vier Telefonnummern (früher fünf, eine davon mußte ich aus Sicherheitsgründen schon komplett löschen): Ich kann die Paßwörter nicht ändern weil man sich über meinen derzeitigen DSL-Anschluß nicht mehr mit den 1&1-DSL-Zugangsdaten einwählen kann. Zur Verwendung der ebenfalls zum Account gehörenden Modemeinwahl fehlt mir der Zugriff auf einen POTS-Anschluß.

Hat jemand eine Idee?

 

[KunterBunter]

Wie hast du denn die eine Rufnummer im 1&1 Control Center löschen können?

 

[SaschaBr]

Kennst den niemanden, dessen 1&1Leitung nutzen könntest?

Seit wann muss man denn bei UI mit dem eigenen DSL-Zugangsdaten online sein, um in das Kontrollcenter zu kommen? Ist das schon immer so? Wenn ja, ist mir damals gar nicht bewusst gewesen.

 

[erik]

@KunterBunter: Löschen geht auch wenn man nicht den zugehörigen Anschluß nutzt.

@SaschaBr: Nein, kenne keinen. Da 1&1 bei uns Regioaufschlag berechnet sind deren Preise nicht so attraktiv wie anderswo. Fast alle Bekannten haben einen Telekom-Anschluß und damit ging früher auch die Einwahl mit fremden Zugangsdaten. Jetzt geht das leider nicht mehr.

PS: Natürlich kommt man ins Kontrollcenter, nur sind die kostenerzeugenden Funktionen gesperrt.

Edit: Das Problem soll laut diesem Beitrag in Arbeit sein.

 

[RAMler]

Kurze Frage, da ich gerade meine gesammelten FWs aussortiere.
Am welcher Firmwareversion/Labor genau wurde die Lücke geschlossen?

Danke

EDIT:
Ab der 6.03 (labor) und der extra gepatchten downgrade 84.05.54 - korrekt?

6.02 oder kleiner ist verwundbar?

 

[qwertz.asdfgh]

Ab der 6.03 (labor)

Nein, i.d.R. ab der 6.03 Release (nicht Labor).

und der extra gepatchten downgrade 84.05.54

Nicht nur, alles hier aufzuführen wäre zu komplex da es je nach Modell und national/international auch unterschiedlich sein kann, zudem hat nicht jedes Modell eine gefixte Downgradeversion erhalten, daher:

Alle Versionen (u.a. z.B. 5.54, 5.23 usw. für die 7390) die du unter:
ftp://service.avm.de/Downgrade
und
ftp://service.avm.de/WDS
findest sollten gefixt sein (im Zweifel einfach das dort ebenfalls vorh. Changelog anschauen).

Für FritzOS >=6.0x und die letzten Releases von älteren Modellen schaut man am besten bei AVM selbst, nationale Versionen:
http://web.archive.org/web/20140727...sicht-fritzbox-modelle-und-sicherheitsupdate/

und internationale Versionen:
http://web.archive.org/web/20140727...w-int-fritzbox-modelle-und-sicherheitsupdate/

 

[RAMler]

Vielen Dank qwertz.

Habe mal alles aussortiert bis 6.03 rls und die neueren Labors.