Fritzbox 6490 Cable Firmware Update?

[Pokemon20021]

Dann fehlt nur noch eine recovery.exe

und eine Freetz Toolchain für ARM CPU

Hoffentlich fehlen nicht wieder div. Teile in dem Tarball wie bei Sourcen zu FB7490, so dass das Erstellen eines Kernels unmöglich ist.

 

[scuros]

Nicht wirklich ... in der Support-Datei steht (meines Wissens, gegenteilige Beweise sind durchaus willkommen) nur die Angabe der "subversion" aus der /etc/version (auch wenn die Zahl i.d.R. dieselbe wäre).

Die Revision findet man auch in den Supportdaten, einmal witzigerweise unter
webui { ...
version = "33895\n";
}
und unter
System Status
-------------
FRITZ!Box 6490 Cable-Kabel-...-1410660-33895

- - - Aktualisiert - - -

UM macht das m.W. so und auch bei VF wird es (vermutlich) möglich sein, die hinterlegte CM-MAC per Telefon zu ändern für die Kunden, die sich sonst etwas "glatt" anstellen.

CM-MAC per Telefon oder sonstwie dem Kunden zu glauben halte ich schon für sehr abenteurlich wenn das wirklich so gehandhabt werden sollte.

In dem Zusammenhang finde ich auch die Abfrage der "Seriennummer" recht pfiffig ... aber ich würde fast wetten wollen (vorbehaltlich der eigenen Prüfung), daß diese Seriennummer in der Kommunikation zwischen CM und CMTS niemals auftaucht.

Hier kann ich aber bestätigen das die Seriennummer im DHCP (Option43) mitgeschickt wird.

https://www.cablelabs.com/wp-content/uploads/specdocs/CL-SP-CANN-DHCP-Reg-I10-130808.pdf

 

[PeterPawn]

Die Revision findet man auch in den Supportdaten

Danke, hatte ich oben dann auch noch bemerkt und ergänzt.

Hier kann ich aber bestätigen das die Seriennummer im DHCP (Option43) mitgeschickt wird.

Danke für die Information ... dann muß das ja auch irgendwie in den individuellen Einstellungen der FRITZ!Box zu finden sein. Wir reden hier ja über die Seriennummer (Serial no.) auf dem Typenschild und nicht die "maca", die sowohl im CWMP-Account verwurstet ist als auch in diversen anderen Paketen (z.B. TR-069-INFORM oder Update-Abfragen beim Hersteller) als "serial number" übermittelt wird?

- - - Aktualisiert - - -

Und in wie weit soll es einen beim Update oder entfernen von Branding ect. helfen?
Selbst wenn man irgendwie an eine FW kommt, kann man diese übers WebIF i.d.R. eh nicht updaten, da vom Anbieter gesperrt.

An wen richtet sich das und was willst Du damit sagen? Geht es wirklich um fehlende Informationen (wenn ja, welche) oder soll das ein "subtiler Hinweis" auf den Thread-Titel sein?

- - - Aktualisiert - - -

@scuros:
Damit gehe ich mal davon aus, daß die 33895 auch "die offizielle Angabe" ist und nicht aus einer Vorab-Version für Provider stammt?

 

[HabNeFritzbox]

An die 2-3 Beiträge vor deinem Posting.

Mit den Sourcen wird man doch keine vollständige FW bauen können samt geschlossenen Sachen von AVM, um die FB aus dem Fängen der Kabelanbieter zu befreien.

Sonst hätte doch bestimmt schon wer wo ne FW angeboten samt Anleitung wie man über FTP dann einspielt.

 

[scuros]

Bei der Seriennummer scheint es defintiv einen Unterschied zwischen den Retail und Providerboxen zu geben, aber ist mir auch gerade eben erst aufgefallen und muss ich mir erstmal genauer anschauen ob es bei jeder Retail-Box dasselbe Schema ist.

Soweit ich das sehe sind es die die letzten 3 Octets der MAC-Adresse. Bei Provider Boxen hat es erstmal gar nix mit der MAC zu tun, das scheint eher eine Herstellungsnummer zu sein. Ob sich das mit der 6.60 Firmware geändert hat wird sich zeigen wenn es für die KNB eine 6.60 gibt.

Edit:
Jap die 33895 war von der offiziellen 6.60

 

[thtomate12]

UM nutzt auch öfters das Geburtsdatum zur Verifikation

 

[PeterPawn]

An die 2-3 Beiträge vor deinem Posting.

Ok, verstanden.

Mit den Sourcen wird man doch keine vollständige FW bauen können samt geschlossenen Sachen von AVM, um die FB aus dem Fängen der Kabelanbieter zu befreien.

Nein ... aber als Informationsquelle sind sie trotzdem ganz nützlich und endlich hat man etwas, worauf man sich beziehen kann und wo man auch mal nachsehen kann, wie das mit der Kommunikation zwischen den beiden Systemen läuft - auch die Aufteilung des (gemeinsam genutzten) Speichers ist nun klar ersichtlich (arch/x86/platform/ce2600/puma6_avm.c):

struct resource *puma6_get_arm_ram(void)
{
    static struct resource *arm_ram = NULL;
    static int init_done = 0;
    ssize_t memsize;

    if(init_done == 0){
        memsize = intelce_get_arm_memsize();
        if(memsize > 0){
//            pr_info("[%s] memsize: 0x%08x\n", __func__, memsize);
            arm_ram = request_mem_region((resource_size_t) 0x08000000, memsize, "ARM-RAM");
            init_done = 1;
        }
    }

    return arm_ram;
}

Da wird also der ARM-Speicher auf dem x86-Core als reservierter (I/O-Speicher-)Bereich ausgewiesen und dieser liegt offenkundig aus Sicht des x86-Cores an der Adresse 0x08000000 - also bei 128 MB.

Sonst hätte doch bestimmt schon wer wo ne FW angeboten samt Anleitung wie man über FTP dann einspielt.

Ohne AVM-Firmware (wie bei den Modellen, die von Freetz unterstützt werden) gibt es auch keine (fertig kompilierten) AVM-Bestandteile "in freier Wildbahn", die werden ja auch bei Freetz 1:1 aus dem AVM-Image kopiert.

Mit einer Freetz-Unterstützung würde ich auch so schnell nicht rechnen, da sind noch ganz andere (und leichter zu integrierende) Modelle (z.B. 7580 und eigentlich ja bei vielem auch die VR9 mit 06.5x noch nicht wirklich) nicht komplett unterstützt und da spielt es noch nicht einmal eine Rolle, daß die 6490 eben ARM/x86 verwendet anstelle des ansonsten überwiegenden MIPS-Krams.

Beim Recovery-Programm bin ich wirklich gespannt ... ich tippe weiterhin auf eine "Spezialversion", die eben nur die Arbeiten beim "Aufräumen falscher Einstellungen" übernimmt und ansonsten die Firmware aber nicht neu schreibt - mithin auch keine Firmware enthalten muß/wird. Aber ich lasse mich auch überraschen ... warum das in meinen Augen trotzdem recht unwahrscheinlich wäre mit einem Recovery-Programm wie bei den anderen Modellen, habe ich nun schon oft genug geschrieben (und auch schon ab und an mal ein (virtuelles) Stöhnen darüber gehört).

 

[Micha0815]

...
Beim Recovery-Programm bin ich wirklich gespannt ... ich tippe weiterhin auf eine "Spezialversion", die eben nur die Arbeiten beim "Aufräumen falscher Einstellungen" übernimmt und ansonsten die Firmware aber nicht neu schreibt - mithin auch keine Firmware enthalten muß/wird. Aber ich lasse mich auch überraschen ... warum das in meinen Augen trotzdem recht unwahrscheinlich wäre mit einem Recovery-Programm wie bei den anderen Modellen, habe ich nun schon oft genug geschrieben (und auch schon ab und an mal ein (virtuelles) Stöhnen darüber gehört).

Naja! Als stiller Leser (Laie an der Aussenlinie) könnte ich mir lebhaft vorstellen, dass in nicht allzuferner Zukunft in der Grauzone Angebote auftauchen, die aus einer Ex-Provider-Box eine "freie" und provisionierbare machen.

Just my 2Cent

LG

OT: Lustig fand ich diesen Beitrag und AVM hat natürlich alles im "Griff"

 

[Fiesi]

@Nimloth

Jetzt muss man nur noch die möglichkeit haben, das Update einzuspielen

Edit:
Da ja nun der Link zum Image Existiert, kann man nicht i wie in der Fritte die "hosts" ändern und so nen andere URL für den DL vorgaukeln? So könnten die keine "Freie" Fritte haben evtl. ja doch updaten.

Vorausgesetzt das Image kann man überhaupt auf jede Fritte einspielen... was ja glaub ich noch nicht so ganz klar war wenn ich das richtig mitverfolge hier...

 

[Elastan]

Ich möchte nochmals zu der Problematik der Zertifikate kommen, da ich glaube, dass die Provider-Boxen, die man über Sicherheitslücken oder Update über GUI mit Telnet bzw. Update versehen kann (FW unter 6.30), kein sicheres/zukunftsträchtiges Zertifkat haben und die Provider-Boxen, die ein sicheres/zukunftsträchtiges Zertifkat haben, sich aber nicht mit den bekannten Möglichkeiten mit Telnet bzw. Update versehen lassen, oder?
Lass mich gern etwas besseres belehren.
Meine Branding-freie Box hat folgende Zertifkate:

cat /proc/sys/urlader/config
WLAN
DECT
WLAN2
ZERTIFIKATE
DOCSIS
# ls -lR /nvram/1/security/
/nvram/1/security/:
-rw-r--r--    1 root     root           760 Jan  1  1970 cm_cert.cer
-rw-r--r--    1 root     root           635 Jan  1  1970 cm_key_prv.bin
drwxr-xr-x    2 root     root             0 Jan  1  1970 download
lrwxrwxrwx    1 root     root            38 Jan  1  1970 mfg_cert.cer -> /etc/docsis/security/euro_mfg_cert.cer
lrwxrwxrwx    1 root     root            41 Jan  1  1970 mfg_key_pub.bin -> /etc/docsis/security/euro_mfg_key_pub.bin
lrwxrwxrwx    1 root     root            42 Jan  1  1970 root_pub_key.bin -> /etc/docsis/security/euro_root_pub_key.bin
 
/nvram/1/security/download:

Zumindest sind alle größer Null und waren wohl schon bei Auslieferung vorhanden, da Ordner download im Gegensatz anderer leer ist. Jedoch hat das Zertifikat mfg_cert.cer die gleiche Seriennummer wie bei fesc und anderen. Somit wird die Box auch irgendwann, bei KMS/cablesurf wohl spät, ein Problem haben.
Die FW war die 23 mit Update 24 auf zweiten Speicherteil und SN F46...
Interessanterweise hat meine andere Box (Branding kdg) eine frühere SN F42... bei neuerer FW 31 (wohl schon bei Auslieferung) auf beiden Teilen (Ich gehe davon aus, dass bei einem Update der nicht aktive Bereich aktualisiert wird und auch nicht später bei erfolgreichen, laufenden neuer Firmware der zweite Bereich nachträglich noch geupdatet wird.). Leider gibt es hier keine Lücken oder eine GUI-Lösung, um Telnet bzw. Update auszuführen (auf der anderen Box habe ich bei FW 24 auch kein Update hinbekommen, kann aber auch daran liegen, dass ich bei FW 23 mit Linux gearbeitet habe).

 

[Pokemon20021]

Hallo Elastan,
Frage: Hast Du eine Datei "/var/tmp/urladercerts.tar.gz" ?
diese wird mit FW >= 06.50 benötigt.

Normalerweise werden die Dateien "cm_cert.cer cm_key_prv.bin mfg_cert.cer mfg_key_pub.bin"
beim Ausführen von "/bin/docsiscertdefaults" nach "/nvram/1/security/download/" kopiert.

Als weiteres Prüfkriterium kann die Supportdata.txt Datei dienen; hier sollten folgende Zeilen enthalten sein:

end of DOCSIS SUPPORT
CM certificate: [COLOR=#0000FF]new/new[/COLOR]
MFG certificate: [COLOR=#0000FF]new/new[/COLOR]
##### END SECTION DOCSIS

Gruß
Pokemon20021

 

[OzZy_HH]

Bei meiner Box sieht das wie folgt aus:

end of DOCSIS SUPPORT
CM certificate: new/new
MFG certificate: old/old
##### END SECTION DOCSIS

Die Datei "/var/tmp/urladercerts.tar.gz" habe ich leider nicht

Ist es dadurch unwahrscheinlich die Box bei einem Cable Provider provisoniert zu bekommen?

PS: Wer den Link zum 06.61 Image haben möchte kann mir gerne eine PM schicken

 

[Elastan]

Bei mir ist beides auf old/old, schade.
Ich habe aber die 6.50 installiert.
Die Datei urladercerts werde ich später überprüfen.

 

[Pokemon20021]

end of DOCSIS SUPPORT
[FONT=courier new]CM certificate: new/new
[COLOR=#ff0000]MFG certificate: old/old[/COLOR][/FONT]
##### END SECTION DOCSIS

Die Datei "/var/tmp/urladercerts.tar.gz" habe ich leider nicht

Ist es dadurch unwahrscheinlich die Box bei einem Cable Provider provisoniert zu bekommen?

Es hängt vom Provider ab, bei dem Du die Box provisionieren möchtest:
folgende Provider akzeptieren nur noch vertrauenswürdige Zertifikate ==> bei Vodafone-Kabeldeutschland, PrimaCom, TeleColumbus;
folgende Provider akzeptieren derzeit noch alte (unsichere) Zertifikate ==> UnityMedia, KMS

 

[OzZy_HH]

Schade, bin bei Vodafone
Es wird wohl keine Mittel und Wege geben an so ein Zertifikat zu kommen, oder? (Da das Zertifikat an die jeweilige CM MAC gebunden ist, richtig?)

Im Grunde kann man die Box ja dann nur noch als LAN1/WAN Router benutzen...

 

[Pokemon20021]

Es wird wohl keine Mittel und Wege geben an so ein Zertifikat zu kommen, oder? (Da das Zertifikat an die jeweilige CM MAC gebunden ist, richtig?)

bisher kenne ich keine Success-Story hierzu;
habe in einem Forum mal von "cm_dl_cert" Binary in Verbindung mit einem "Zwischen-Update" und TR-069 Online-Verbindung zu AVM gelesen, evtl. hilft dies bei der Suche weiter.

 

[PeterPawn]

PS: Wer den Link zum 06.61 Image haben möchte kann mir gerne eine PM schicken

Das wird man sicherlich nicht verhindern können, auch wenn es mit einiger Wahrscheinlichkeit für AVM ein leichtes ist, den variablen Bestandteil der URL (ich habe die bisher hier nicht gesehen, ich meine aber den Teil mit der achtstelligen Zahl hinter dem "6490") einfach zu ändern ... dann laden die Boxen das Image eben von einer anderen URL.

Sollte dann irgendjemand auf die Idee kommen, sich das Image direkt von so einem "Anbieter" wie oben zitiert senden zu lassen, sollte man zumindest den Hash-Wert der originalen Datei kennen, das wäre für die derzeit zu ladende Datei dann (SHA-256):

23fb7db99d11942ca05989e68dc19c7421ccd0dfa2316e70c678c698c3527bd9  FRITZ.Box_6490_Cable.de-en-es-it-fr-pl.141.06.61.image

---

-Warum ist das wichtig?

Beim Update über Telnet (darum geht es hier ja wohl, das Online-Update lädt die Firmware ja von alleine, dazu braucht man kein Image und die Boxen ohne Online-Update haben i.d.R. auch das Formular für das dateibasierte Update nicht bzw. es funktioniert nicht ohne weitere "Kopfstände") erfolgt keine Signaturprüfung der geladenen Image-Datei und es ist tatsächlich nur eine Fingerübung, die enthaltenen Dateisysteme so zu ändern, daß sich die Box von nun an mit schöner Regelmäßigkeit bei einem C&C-Server meldet und sich dort neue Befehle holt.

Das läßt sich sogar so umsetzen, daß künftige Updates ebenfalls wieder passend modifiziert werden ... da dann auch erst nach der Signaturprüfung, denn man "ist ja schon drin" (das war ja einfach - für die Leute, die noch alte TV-Werbung für Dial-In-Verbindungen kennen).

Das wäre dann die Malware direkt im FRITZ!OS des Routers und aus Security-Sicht der Super-GAU.

Da man keine andere Möglichkeit hat, den tatsächlichen Inhalt so eines Firmware-Updates bei der 6490 mit dem originalen Stand zu vergleichen (solange man nicht beide vorliegen hat und dann könnte man auch gleich das originale verwenden, oder?), ist es erst recht ein leichtes, da zusätzlichen Code zu verstecken.

Wer will schon (wenn er nicht weiß, wie das Original aussieht) den von AVM zum Intel-CEFDK hinzugefügten Code von dem eines Angreifers unterscheiden? Es gibt ja weitreichende Teile der Firmware bei der 6490, die in dieser Form bei keiner anderen Box vorhanden sind - womit da auch der Vergleich mit anderen Modellen als Möglichkeit der Prüfung wegfällt.

Das FRITZ!OS besteht auch nicht nur aus einer Datei ... und ohne solide Kenntnisse, wo sich da etwas verstecken könnte, steht man auf ziemlich verlorenem Posten, wenn man so einen "Eindringling" entdecken will.

---

-Ich habe also keine Ahnung, wer @OzZy_HH ist und was sich hinter dem angebotenen Link verbirgt ... ist es die o.a. Datei, ist das eher harmlos, weil es das AVM-Original ist. Ich will so etwas also auch nicht "verteufeln", es war vermutlich unausweichlich, solange AVM da keine passenden Vorsorgemaßnahmen trifft (eine oft genug geäußerte These meinerseits, was man da alles machen könnte).

Zeigt der Link irgendwo zu einem One-Click-Hoster und/oder der Hash-Wert stimmt nicht, wäre ich extrem vorsichtig ... das wird sicherlich @OzZy_HH auch nicht in den falschen Hals kriegen - selbst bei den von mir selbst bereitgestellten Downloads warne ich immer wieder, daß eine gesunde Portion Mißtrauen und die eigene Kontrolle die beste Versicherung gegen "ungebetene Gäste" im eigenen Router sind.

Wer sieht schon in der ersten Freude über den lange gesuchten Download-Link so genau hin, daß er "avm.de" von "avn.de" unterscheiden kann und für diese Domain ist z.B. der Inhaber (lt. DeNIC-WhoIs):

Domaininhaber
    TradeMark Unlimited, Inc.
Adresse
    1529 Palmetto St
PLZ
    33755
Ort
    Clearwater
Land
    US
Telefon
    +1 727 444 4455
Telefax
    +1 727 444 4466

beim DeNIC registriert (der Tech-C und der Zone-C mit einer Adresse "[email protected]" wäre bei mir persönlich jetzt auch nicht gerade "vertrauensbildend", ein Tech-C, der keine eigene (E-Mail-)Domain hat, ist zwar nicht "verboten", aber schon recht ungewöhnlich und für eine "Sammelbezeichnung" anstelle eines "ordentlichen Namens" sind ja auch eher die Eltern verantwortlich - da wäre ja "MaxMustermann" fast noch origineller oder "JohnDoe") ... nur mal als Beispiel, warum solche Warnungen wie oben (bei aller Paranoia, die man mir unterstellen könnte) nicht so vollkommen aus der Luft gegriffen sein müssen.

 

[Elastan]

Heute in der Früh hat ein Forummitglied (numan oder so) gepostet, dass das Update auf 61 über LAN1 und Proxy nachverfolgen konnte und hat hier den direkten Link zu AVM gepostet - wurde wohl wieder gelöscht.

 

[HabNeFritzbox]

Nimloth hat Link zu http://download.avm.de/firmware/6490/35717120/FRITZ.Box_6490_Cable.de-en-es-it-fr-pl.141.06.61.image gepostet und wieder entfernt.

Da es kein FTP mit Passwort ist und direkt von AVM, nenne ich den von ihm genannten Link hier nochmal, auf eigenes Risiko halt.

 

[stanpete78]

Müsste das jetzt aufgetauchte 6.61 sich nicht such über die Entwicklertools installieren lassen? Schon jemand probiert?