[Info] Sicherheitslücke in FRITZ!OS Ver. 6.2x bis 7.5x [WID-SEC-2023-2262] - 04.09.2023

[Looper_2023]

[Edit Novize: Gelöschten/zerstörten Beitrag wieder hergestellt - Threadvandalismus wird nicht geduldet]

weiß jemand warum bei den AX-Repeatern noch die alten Firmware auf dem Server sind?

Index of /fritzwlan/fritzrepeater-1200-ax/deutschland/fritz.os/

Index of /fritzwlan/fritzrepeater-3000-ax/deutschland/fritz.os/

download.avm.de

Index of /fritzwlan/fritzrepeater-6000/deutschland/fritz.os/

download.avm.de

 

[NDiIPP]

Das sind Versionen des vorherigen Entwicklungszweiges (PSQ19) wo die Lücke geschlossen wurde. Damit man ggf. die Wahl hat und vorerst beim vorherigen Release-Zweig bleiben kann. Sind dementsprechend auch in #1 bereits (seit längerem) mit aufgeführt.

 

[Looper_2023]

[Edit Novize: Gelöschten/zerstörten Beitrag wieder hergestellt - Threadvandalismus wird nicht geduldet]

also muss man bei diesen Geräten nicht zwingend 7.57 installieren

 

[Grisu_]

Damit hätte sie die Lücke erst später eingebaut???
Klingt auch nicht ganz plausibel, aber ich kanns eh nur glauben ...

 

[2300A]

Ich sehe das eher so, dass man die 3 Repeater gepatcht hat, bevor sie die 7.57 erhalten haben.

 

[NDiIPP]

[…] dass man die 3 Repeater gepatcht hat, bevor sie die 7.57 erhalten haben.

Nein! Die Versionen wurden jeweils erst nach den jeweiligen 7.57er Releases veröffentlicht und jeweils auch erst danach erstellt (siehe Buildnumber und mutmaßliches Builddate).

Am Beispiel für den Repeater 1200 AX:

• FRITZ!OS 7.30-93528 (mit Sicherheitslücke): am 17.12.2021 veröffentlicht (gebaut vermutlich am: 16.12.2021)
• FRITZ!OS 7.56-106867 (mit Sicherheitslücke): am 06.07.2023 veröffentlicht (gebaut vermutlich am: 26.06.2023)
• FRITZ!OS 7.57-107840 (Lücke geschlossen): am 14.09.2023 gegen 12 Uhr veröffentlicht (gebaut vermutlich am: 02.09.2023)
• FRITZ!OS 7.31-108167 (Lücke geschlossen): am 20.09.2023 veröffentlicht (gebaut vermutlich am: 14.09.2023 gegen 17 Uhr)

Also offenbar hat man sich nachdem man Ver. 7.57 für den 1200ax freigegeben hat überlegt noch einen Patch für den alten Release-Zweig zu erstellen und diesen dann knapp eine Woche später veröffentlicht.

Und beim 3000ax sowie 6000 sieht es jeweils ähnlich aus…

---

Damit hätte sie die Lücke erst später eingebaut?

Wie meinen?

 

[Exodus88]

Am Beispiel für den Repeater 1200 AX:

Die Logik dahinter muss man aber auch erst verstehen!?!

Vor allem, wenn die Geräte von AVM bereits ein Zwangsupdate auf 7.57 erhalten haben, auch wenn die Einstellung für die Updates auf "nur informieren" standen.

Speziell der 1200 ax hat mit dem Entwicklungszweig PSQ19 das Problem mit dem "fehlenden" Wifi6, wenn auf der Masterbox eine FW ab 7.39 läuft und am Repeater was verstellt wird.
Ich gehe mal stark davon aus, dass AVM dieses Problem in der 7.31 nicht gefixt hat, vor allem wenn das Problem gar nicht bekannt ist https://www.ip-phone-forum.de/threa...-kein-wifi-6-mehr-möglich.314924/post-2508013

Wie es mit den anderen Repeatermodellen aussieht, weis ich nicht.

Gruß

Roland

 

[NDiIPP]

Die Logik dahinter muss man aber auch erst verstehen!?!

Ich kann die Logik durchaus nachvollziehen. Ist ja auch nicht das erste mal. Bspw. hatte AVM 2014 beim webcm-Gau u.a. für die 7270 oder 7390 nach dem Fix mit Ver. 6.03 nachträglich noch bis zurück zu Ver. 5.2x gefixt (es gab also für ein Modell eine gepatchte Ver. 6.0x, 5.5x und 5.2x). Das einzige was ich in diesem Zusammenhang nicht verstehe ist, dass das AVM nicht auch für populäre Modelle wie die 7590 oder 7490 gemacht hat.

 

[Exodus88]

Ich kann die Logik durchaus nachvollziehen.

Vielleicht bist du noch so nett und könntest mir das erklären, dass es auch für mich nachvollziehbar ist. Ich glaube, ich sitze aktuell auf dem Schlauch.

Für die Boxen gibt es keinen Fix für den PSQ19 Zweig, für die Repeater schon... Was soll mir das dann als Verbraucher bringen, außer dass es Probleme mit dem Repeater gibt, wenn auf der Fritte zwangsweise eine 7.57 läuft?

 

[NDiIPP]

Was soll mir das dann als Verbraucher bringen, außer dass es Probleme mit dem Repeater gibt, wenn auf der Fritte zwangsweise eine 7.57 läuft?

Es kann ja gerade nicht auf jeder Fritzbox zwangsweise eine Ver. 7.57 laufen! Vielleicht gibt es Interoperabilitätsprobleme speziell bei den ax-Repeatern mit Boxen als "Master" die noch mit FRITZ!OS <=7.2x/7.3x laufen, also bspw. 3490, 549x, 6430, 7362 SL, 7430, 7560, 7580, 7581, 7582 usw. usf… Wer halt damit ggf. ein Problem hat könnte somit bei Bedarf auf dem älteren Zweig bleiben. Ich vermute mal die das betrifft wissen davon bzw. werden ggf. von AVM bei entsprechenden Anfragen darauf hingewiesen.

Aber letztlich ist mir der genaue Grund einerseits unbekannt und andererseits (zumindest hier) auch egal, ich führe in #1 halt (nur) die offiziellen Firmware-Versionen auf wo das Problem (Sicherheitslücke) behoben wurde, das reicht mir. Evtl. gibt es später ja mal entspr. Hinweise/Anleitungen in der AVM Wissensdatenbank (oder vielleicht gibt es die dort auch schon) so wie bspw. auch beim 546E, wo unter bestimmten Umständen auf die ältere Ver. 6.50 verwiesen wird (bzw. was nun dann eigentlich die gefixte Version 6.51 sein sollte was wohl aber in der AVM Wissensdatenbank im Text noch nicht angepasst wurde aber auf dem Downloadserver schon), s.h. Pkt 2 "Kompatible FRITZ!OS-Versionen auf allen Geräten installieren":
https://avm.de/service/wissensdaten...r-Benutzeroberflache-der-FRITZ-Box-angezeigt/

 

[Exodus88]

@NDiIPP

nochmals danke für deine Geduld und deine Information.

Das mit den "alten" Versionen der Boxen könnte tatsächlich die Rätsels-Lösung sein, daran hatte ich nicht gedacht.

Wobei ich hier das weiter eingrenzen würde, auf alle Boxen mit FW 6.xx, da könnte es tatsächlich eine Inkompatibilität geben (reine Vermutung, nicht getestet).
Ein 1200 ax mit FW 7.5x an einer 7580 mit der FW 7.29 bzw. 7.30 macht keinerlei Probleme, das habe ich schon ausprobiert. Daher eben meine Theorie über die Boxen mit einer FW <7.xx.

Das ist für mich ein nachvollziehbarer Grund für die unterschiedlichen Versionen der Repeater FW, daher nochmals Danke für den Denkanstoß.

Gruß

Roland

 

[Jstessi]

• FRITZ!OS 7.30-93528 (mit Sicherheitslücke): am 17.12.2021 veröffentlicht (gebaut vermutlich am: 16.12.2021)

Ist verifiziert, Daten stimmen lt. eig. Archiv