Fritz!Box 7170 wegen "Massenhack" aktualisieren - geht das so ?

[HartmutB]

Hallo,

nachdem ja wohl auch alle Boxen ohne aktiven Fernwartungszugang angreifbar sind (Quelle z.B. Heise), möchte ich meine (betagte) 7170 mit Freetz 1.2 Stable auch gerne akualisieren.

Ich will bei Freetz 1.2 bleiben (Gründe sind unwichtig, im Kern läuft der PPTP bei mir bei Freetz 2.0 nicht richtig), deshalb habe ich einfach entsprechend dem aktuellen Changeset (11734) der Stable 2.0 die Datei Config.in meiner Build-Umgebung entsprechend angepasst und hier die fehlerbereinigte Firmware eingetragen.

Ich kann die Firmware auch problemlos bauen, die FRITZ.Box_Fon_WLAN_7170.29.04.88.image wird auch von AVM heruntergeladen.

Jetzt meine Frage: Ist damit der kritische Fehler im gebauten Freetz-Image behoben ?
Hintergrund der Frage ist, dass ja weiterhin als Sourcendatei die "fritzbox7170-source-files-04.87.tar.gz" genutzt wird, die ja zur "gefährlichen" Firmwareversion gehört.


Danke für eine Antwort,
Hartmut

 

[chres]

Jetzt meine Frage: Ist damit der kritische Fehler im gebauten Freetz-Image behoben ?
Hintergrund der Frage ist, dass ja weiterhin als Sourcendatei die "fritzbox7170-source-files-04.87.tar.gz" genutzt wird, die ja zur "gefährlichen" Firmwareversion gehört.

Berechtigte Frage!
Bin Freetz- (bzw. schon ds-mod) Benutzer der ersten Stunde und stehe nun auch davor meine Boxen auf Grund des "Hacks" aktualisieren zu müssen.
Daher stellt sich auch mir die Frage in wieweit die Sources zum Erstellen der gefreezten Images benutzt werden und man sich aus Unwissen über diese Hintertür den "Fehler" evtl. wieder in die Firmware holt.
V.a. da das Ganze ja nun laut Heise (http://www.heise.de/newsticker/meld...-AVM-Router-auch-ohne-Fernzugang-2115745.html) nicht wie von AVM behauptet mit dem Abschalten des Fernzugangs behoben ist, sondern noch viel schwerwiegender ist als zunächst befürchtet.

Klar weiß vermutlich keiner der devs derzeit genau wo der Fehler lauert, aber zumindest eine generelle Aussage, ob das beim Freezen mit "veralteten" Sourcen wieder in die Firmware gelangen kann, oder ob die Sourcen nicht für's Bauen der eigentlichen GUI verwendet werden.
Könnte hierzu bitte einer der devs eine Auskunft geben.

Besten Dank
chres

 

[olistudent]

Da mir keinerlei Information von AVM vorliegt wo genau sich der Angriffspunkt befindet kann nichts definitives sagen...

Aufgrund der geänderten Dateien vermute ich jedoch ein Problem im AVM Webserver. Da die AVM Funktionen größtenteils nicht angefasst werden würde ich behaupten, dass auch für Freetz Images das Problem durch ein Update behoben ist. Auch im Trunk wurde ja nichts anderes gemacht als die zugrunde liegende AVM Firmware upzudaten.

Aus den AVM Quellen wird lediglich der Kernel in das Image eingebaut. Hier sehe ich nicht die Ursache des Problems.

Gruß
Oliver

 

[HartmutB]

Danke für die Antwort.

So richtig sicher kann man also nicht sein. Das betrifft wahrscheinlich sogar alle Boxen, da es überall nur neue Firmware, aber keine aktualisierten Sourcen gegeben hat.

Lässt sich vielleicht über den Autor des o.g. Heise-Artikels was rausfinden ?
So jedem wird der wahrscheinlich keine Auskunft geben, dem/n Macher(n) dieses Forums aber vielleicht schon. Dann hätte man eventuell eine Gewissheit, die im Moment halt doch fehlt und im worst case doch ziemlich Geld kosten kann.

Gruß
Hartmut

 

[DM41]

Der Tippgeber an heise ist bei uns im Forum unterwegs:
http://www.ip-phone-forum.de/showthread.php?t=267007&page=25&p=1988194#post1988194
http://www.ip-phone-forum.de/showthread.php?t=267007&page=26&p=1988422#post1988422

Vielleicht kann sich Oliver mal kurzschließen, ob seiner Meinung nach auch Freetz durch ein Update sicher ist.

 

[chres]

Erst mal Dank auch von mir für die ersten Einschätzungen!

Vielleicht kann sich Oliver mal kurzschließen, ob seiner Meinung nach auch Freetz durch ein Update sicher ist.

Das wär natürlich ne feine Sache...