Welchen Router und Mesh bei Telekom Glasfaser?

[tango501]

In der Vergangenheit wurden diese Fehler aber zumindest auch kommuniziert und auch behoben.
Beispielsweise hier:
"Firmware Version: 16.40.2.16.00 Veröffentlichungsdatum: 05/2024
ÄNDERUNGEN − Sicherheitsupdates (u.a. Update auf aktuelle OpenSSL Version 3.0.13)"
Quelle:

https://www.telekom.de/hilfe/downloads/firmwareaenderungen-digitalisierungsbox-premium-2.pdf

 

[chrsto]

Was ist das denn jetzt für eine Aussage und was hat sie mit der ursprünglichen zu tun?

Da wurde überhaupt kein Fehler kommuniziert, sondern mitgeteilt, dass jetzt Version 3.0.13 eingesetzt wird.

 

[tango501]

ich habe das noch mal an die zuständige Fachabteilung weitergegeben

Bitte auch noch den folgenden Link an die zuständige Fachabteilung weiterleiten. Danke!
"Neue OpenSSL-Lücke ist gefährlich, aber sehr schwer auszunutzen"

Neue OpenSSL-Lücke ist gefährlich, aber sehr schwer auszunutzen

Während SuSE und BSI ein hohes Risiko sehen, verweist das OpenSSL-Projekt auf umfangreiche Vorbedingungen eines Exploits. Vorerst kommen keine Updates.

www.heise.de

 

[NDiIPP]

Es stellt sich auch hier die Frage, die ich (in einem anderen aber ähnlichen Zusammenhang bzw. bei einem anderen Produkt) schon einmal stellte:
https://www.ip-phone-forum.de/threa...aus-7-39-7-41-7-5x-move21.313361/post-2570869

Kurzum, nicht jede neue Schwachstelle die in OpenSSL geschlossen wird/wurde ist wirklich für alle relevant. Nicht immer einfach jede neue Meldung zu einer Lücke nutzen, um nach einer neuen OpenSSL-Version zu fragen, das bringt nichts. Sorgt nur dafür, dass man in Zukunft bzgl. solcher Meldungen/Nachfragen abstumpft.

Erst wenn wirtlich bekannt/sicher ist, dass die betroffenen OpenSSL-Funktionen in einem Produkt auch wirklich verwendet werden, ist das wirklich ernst zu nehmen. Wenn es dagegen nicht bekannt ist, sind es nur Vermutungen und ggf. ist es dann vorerst unbekannt, ob ein Update überhaupt erforderlich ist. Bei weitem nicht jede neue OpenSSL-Version mit geschlossen Lücken erfordert ein Update (oft werden nur wenige Funktionen/Module von OpenSSL verwendet und ggf. sind die verwendeten nicht betroffen). Das bezieht sich nicht nur auf die neuste Meldung dbzgl.

 

[Telekom hilft Team]

Hey @tango501,

danke für deine Geduld. Ich habe eine Rückmeldung aus der Fachabteilung erhalten. Die Digitalisierungsbox wird kein Update mehr vor dem Supportende bekommen.

Viele Grüße
^Isabelle

 

[tango501]

Hallo @Telekom hilft Team, sind von „Die Digitalisierungsbox wird kein Update mehr vor dem Supportende bekommen“ wirklich ALLE Digitalisierungsboxen betroffen? Es gibt immerhin sechs unterschiedliche Modelle, wobei bei einer Reihe von Modellen ein Supportende „Ende 2024“ kommuniziert worden ist. Bei den Modellen Digitalisierungsbox Smart 2 und Digitalisierungsbox Premium 2, welche aktuell übrigens noch vertrieben werden, wurde zumindest ein Support bis Ende 2026 kommuniziert.

• Digitalisierungsbox Basic
• Digitalisierungsbox Standard
• Digitalisierungsbox Smart
• Digitalisierungsbox Premium
• Digitalisierungsbox Smart 2
• Digitalisierungsbox Premium 2

Wenn es jetzt schon weit vor dem Supportende es keine Updates und Fehlerbehebungen mehr geben sollte, dann wäre das ein ziemlicher Hammer. Bitte nochmals die Rückfrage an die Fachabteilung, ob davon alle aufgeführten Digitalisierungsboxen betroffen sind.
Wo stehen eigentlich diese Lifecycle Informationen für die oben aufgeführten Produkte und wo sind diese auch einsehbar? Viele Hersteller führen darüber Übersichten, nur bei der DTAG ist dazu leider nichts zu finden.
Hintergrund der Frage ist die Problemstellung, dass bei der Umsetzung der NIS2 Richtlinie eine Bestandsaufnahme der Netzwerksicherheit erforderlich ist. Dabei ist eine Überprüfung erforderlich, ob Bestandsgeräte wie beispielsweise Digitalisierungsboxen weiterhin auch mit Security Updates versorgt werden. Über eine kurze Antwort zu der Problematik freue ich mich.