WLAN-Router: Sicherheitslücke im Mediaserver der Fritzbox
Die Friitzbox 7390 ist eines der betroffenen Modelle. (Bild: AVM)

WLAN-Router Sicherheitslücke im Mediaserver der Fritzbox

Einige Router der Serie Fritzbox von AVM geben im lokalen Netz ihre Konfigurationsdaten preis, ohne dass dafür eine Zugriffsberechtigung besteht. Im schlimmsten Fall kann so auch das WLAN-Passwort ausgelesen werden. Für zwei betroffene Router gibt es bereits ein Firmwareupdate.

Anzeige

In Verbindung mit ihrem per UPnP arbeitenden Mediaserver können einige Fritzboxen auch vertrauliche Daten weitergeben. Der Fehler wurde von Heise Online veröffentlicht, nachdem die Redaktion den Hersteller AVM davon in Kenntnis gesetzt hatte. Die Lücke soll nicht in der Umsetzung des UPnP-Protokolls selbst stecken, sondern in einem Webserver der "Fritz!Box".

Über einen Browser sollen sich so durch Eingabe der richtigen URL - die auf ein Verzeichnis des internen Speichers der Fritzbox verweist - Konfigurationsdaten des Routers auslesen lassen. Dabei kann unter noch nicht veröffentlichten Bedingungen auch das WLAN-Passwort im Klartext ausgelesen werden.

Der Fehler liegt an der Art, wie die Fritzbox die Freigabe von Dateien in ihren Voreinstellungen regelt. Wie AVM in einer Beschreibung der Lücke zeigt, sind ab Werk alle Mediendateien auf einem an den Router angeschlossenen USB-Speicher sowie auch der interne Speicher des Routers freigegeben. Um den Fehler zu beheben, reicht es laut AVM bereits, die Freigabe nur für ein bestimmtes Verzeichnis eines USB-Speichers zu erlauben.

  • Unten rechts lässt sich die Freigabe einschränken. (Bild: AVM)
Unten rechts lässt sich die Freigabe einschränken. (Bild: AVM)

Dennoch will AVM die Lücke selbst auch mit neuen Firmwareversionen für die Router schließen. Die bei diesem Unternehmen Labor genannten Betaversionen mit entsprechenden Fixes gibt es bereits für die Fritzboxen mit den Modellnummern 7390 und 7270 v3. Betroffen ist nach Angaben von AVM außerdem die Fritzbox 3270, für die es aber noch kein Update gibt.

Eine vollständige Liste der Router mit dem Fehler gibt es noch nicht. Daher ist auch nicht auszuschließen, dass der Fehler auch in von AVM für Provider hergestellten Routern existiert, welche die Dienstleister unter eigenen Namen vertreiben. So stammen beispielsweise einige Speedport-Router der Telekom von AVM.

AVM weist in seiner Mitteilung zwar darauf hin, dass ein Zugriff auf die Konfigurationsdaten per Internet nicht möglich sei, Heise Online widerspricht dem jedoch. Durch Cross-Site-Scripting sei es vielleicht möglich, Webseiten so zu präparieren, dass sich die Daten auch aus der Ferne auslesen lassen.


Mirko Steiner 23. Mai 2012

Laut AVM wollen die das generell nicht mehr in den Geräten anbieten... siehe: http...

Kommentieren



Anzeige

  1. Entwickler (m/w) SharePoint, Web, SQL
    Grüner Fisher Investments GmbH, Rodenbach bei Kaiserslautern und Frankfurt
  2. Software-Entwickler (m/w) SAP CRM
    AOK Systems GmbH, München
  3. Consultant PMO - Project Management Office (m/w)
    SEEBURGER AG, Bretten
  4. IT-Service Mitarbeiter/in für den Anwender-Support
    DATAGROUP Köln GmbH, Köln oder München

 

Detailsuche


Folgen Sie uns
       


  1. Zuwachs

    Beschäftigungsrekord in der deutschen IT-Branche

  2. Systemd-Diskussion

    Debian könnte geforkt werden

  3. 3D-Druck ausprobiert

    Internetausdrucker 4.0

  4. Auftragsfertiger

    TSMC plant 10-Nanometer-Fertigung für Ende 2015

  5. Windows 10

    Microsoft will nicht an das unbeliebte Windows 8 erinnern

  6. Panoramakamera

    Panono kündigt Ballkamera für Frühjahr 2015 an

  7. Chromebook 2

    Samsungs neues Chromebook nutzt einen Intel-Prozessor

  8. Streckenerkennung

    Audi-Rennwagen fährt fahrerlos auf dem Hockenheimring

  9. Mastercard

    Kreditkarte mit Fingerabdrucksensor

  10. Wearable

    Fitbit Surge ist eine Smartwatch mit GPS



Haben wir etwas übersehen?

E-Mail an news@golem.de



Sony Alpha 7S im Test: Vollformater sieht auch bei Dunkelheit nicht schwarz
Sony Alpha 7S im Test
Vollformater sieht auch bei Dunkelheit nicht schwarz
  1. FPS 1000 Kamera soll 18.500 Frames pro Sekunde aufnehmen
  2. Bericht Sony will 4K-Superzoom-Kamera entwickeln
  3. Minikamera Ai-Ball Die WLAN-Kamera aus dem Überraschungsei

Google: Nexus 9 als erstes Tablet mit 64-Bit-Tegra von Nvidia
Google
Nexus 9 als erstes Tablet mit 64-Bit-Tegra von Nvidia
  1. Android L Das L steht für Lollipop
  2. Volantis Nexus 9 bekommt FCC-Zertifizierung

Legale Streaming-Anbieter im Test: Netflix allein macht auch nicht glücklich
Legale Streaming-Anbieter im Test
Netflix allein macht auch nicht glücklich
  1. Netflix-Statistik Die Schweiz streamt am schnellsten
  2. Deutsche Telekom Entertain ab dem 14. Oktober mit Netflix
  3. HTML5-Videostreaming Netflix bietet volle Linux-Unterstützung

    •  / 
    Zum Artikel