[Info] Sicherheitslücke in FRITZ!OS Ver. 6.2x bis 7.5x [WID-SEC-2023-2262] - 04.09.2023

[NDiIPP]

[…] gibt es auch noch und hat zumindest eine andere IP

-> https://www.ip-phone-forum.de/threads/avm-image-und-recovery-auf-dem-server.300320/post-2287120

Die IP-Adressen und/oder auch die jeweilige Zuordnungen ändern sich ab und zu. Hier auch mal ein etwas späterer Stand:
https://www.ip-phone-forum.de/threads/fritz-box-7590-os-7-25-vom-25-02-2021.309597/post-2415310
https://www.ip-phone-forum.de/threads/fritz-box-7590-os-7-25-vom-25-02-2021.309597/post-2415351

Also man muss nicht zwischen "ftp.avm.de" und "download.avm.de" wechseln sondern ggf. kann man "download[1-x].avm.de" ausprobieren.[/URL]

 

[Master SaMMy]

7390 mit 6.88 ist drausen

Sa 02 Sep 2023 22∶20∶15 CEST

 

[flak65]

Ist man sicher, wenn man den Stanard-https Port geändert hat?

 

[Roboto]

nicht wirklich, gegen einen bot der alle möglichen IPs nur auf 443 durchprobiert ggf. schon,
aber ein portscan aller ports ist doch auch kein hexenwerk

 

[NDiIPP]

@flak65
Nein.

 

[rst-cologne]

7390 mit 6.88 ist drausen

Sa 02 Sep 2023 22∶20∶15 CEST

Heftig. Fast 15 Jahre nach Markteinführung noch ein Sicherheitspatch. Respekt. Wann ist wohl die 7270 dran?

 

[NDiIPP]

Erst einmal abwarten ob FRITZ!OS <6.5x davon überhaupt betroffen ist.

 

[HarryP_1964]

Ja, das wäre auch meine (dumme) Frage:

Hat AVM das Problem mit den letzten Aktualisierungen auf die 7.5*-FW erst eingebaut oder sind auch frühere Versionen betroffen
(was mich wundern würde, hätte doch eigentlich schon lägst mal auffallen müssen, oder?)?

Harry

 

[armin56]

Vermutlich ist das schon länger vorhanden, da die 7390 ja auch ein Update bekommen hat.

 

[Master SaMMy]

Es gibt so viele Bugs, wovon die Hersteller wissen, weil sie gemeldet wurden. Nur wird nichts gemacht. Aber dann wird der Fehler öffentlich gemacht. Und der Hersteller ist nun unter Zugzwang. Weil das ja auch rufschädigend sein kann.

Ich beziehe das jetzt nicht nur auf AVM.

 

[frank.lennert20]

Spricht nicht für Heise das bisher nichts im Ticker steht.
Aber die sind generell oft hinterher..

 

[LucaToni]

Mal eine Frage, das Sicherheitsproblem betrifft doch "allgemein" das Fritz!OS
Bislang sehe ich aber nur Updates für Fritzboxen, kein einziges für die Repeater (habe 2x 1200ax im Einsatz)
... die laufen ja mit Fritz!OS

 

[frank.lennert20]

Na extern kommt ja keiner direkt über 443 auf deine Repeater.

 

[LucaToni]

Okay, das stimmt natürlich auch wieder

 

[oldmen]

Spricht nicht für Heise das bisher nichts im Ticker steht.

Heise macht Qualitätsjournalismus! Das geht nicht so schnell.
Sie müssen doch erst auf allen anderen einschlägigen News- und Nachrichtenseiten recherchieren, ob alle das gleiche schreiben.
Und wenn es dann als DPA Meldung kommt, wird es wohl wahr sein, dann kann man das bringen.
Schnell noch ein paar Worte weggelassen oder gedoppelt oder den Text sonst irgendwie verhunzt, eine Klickbait Überschrift und ein mehr oder weniger sinnfreies "Symbolbild" dazu und fertig ist die Heise-Eilmeldung.

 

[Roboto]

Die guten Zeiten sind bei heise leider lange vorbei, denn auch die späteren Artikel strotzen oft vor Fehlern.

 

[tango501]

https://download.avm.de/fritzbox/fritzbox-7412/deutschland/fritz.os/FRITZ.Box_7412.137.06.88.image

# Weitere Verbesserungen im FRITZ!OS 6.88
## System:
- **Behoben** Stabilität und Sicherheit erhöht

-- Zusammenführung Doppelpost by stoney

Heise hat jetzt reagiert.

AVM: Fritzbox-Firmware 7.57 und 7.31 stopfen Sicherheitsleck

AVM hat für zahlreiche Fritzboxen die Firmware 7.57 und 7.31 veröffentlicht. Es handelt sich um Stabilitäts- und Sicherheitsupdates.

www.heise.de

 

[Master SaMMy]

6430 7.30
7360-v2 6.88

 

[rst-cologne]

Heise hat eine Antwort von AVM bekommen

Eine Sprecherin von AVM sagte heise online auf Anfrage: 
"FRITZ!OS 7.57 ist ein vorsorgliches, notwendiges Stabilitäts- und Sicherheitsupdate. 
Wie bei jedem unserer Updates empfehlen wir, es zu installieren. 
Da im Auslieferungszustand unserer Produkte die automatische Update-Funktion aktiv ist, müssen die meisten Anwender nichts tun. 
Die vorsorgliche Sicherheit ist uns sehr wichtig, daher haben Sie bitte Verständnis, dass wir keine weiteren Informationen geben können".

 

[FlyingToaster]

Die Übersetzung ist:
Wir sind hier bei AVM alle im kompletten Panik-Modus und sind so froh, dass die Lücke nur für eher gutmütige Pranks ausgenutzt wurde.