850L: D-Link will kritische Routerschwachstellen patchen

Nachdem ein Hacker Sicherheitslücken im Router 850L unkoordiniert veröffentlicht hat, will D-Link bald Updates liefern. Die Probleme sind in der Tat gravierend und ermöglichen eine Übernahme des Gerätes.

Artikel veröffentlicht am ,
Der 850L von D-Link braucht ein paar Patches.
Der 850L von D-Link braucht ein paar Patches. (Bild: D-Link)

D-Link will zahlreiche Sicherheitslücken in seinem Router mit der Bezeichnung 850L patchen. Die Schwachstellen waren zuvor unkoordiniert von dem Hacker Pierre Kim veröffentlicht worden. Dieser hatte eigenen Angaben zufolge "schlechte Erfahrungen" mit der Sicherheitsabteilung von D-Link gemacht und damit begründet, nicht im Rahmen von "responsible disclosure" veröffentlicht zu haben.

Stellenmarkt
  1. Data Scientist*in - HR Analytics
    Deutsche Bundesbank, Frankfurt am Main
  2. Graduate* Operational Technology/OT (m/w/d)
    SCHOTT AG, Landshut
Detailsuche

Kim zufolge kann die Firmware des Gerätes einfach ausgelesen und auch ohne Probleme ausgetauscht werden, da keinerlei Signaturprüfung vorgenommen werde. Die Firmware wird nur durch ein hardcodiertes Passwort geschützt.

Die Geräte sind außerdem für Cross-Site-Scripting anfällig, auf diesem Weg können dann zum Beispiel bestimmte Cookies ausgelesen werden. Kim entdeckte gleich fünf entsprechende Schwachstellen.

Sicherheitslücken im Clouddienst

Außerdem soll D-Links Clouddienst Mydlink mehrere Sicherheitsprobleme aufweisen, so soll etwa das Gerätepasswort in Requests unverschlüsselt mitgesendet werden. Kim schreibt, dies würde demonstrieren: "wie kaputt" dieser Dienst sei. Durch reines Mithören des Traffics könnten Angreifer die notwendigen Daten bekommen, um sich in den Router einzuloggen. Mit dem Zugriff auf die Weboberfläche könnten auch neue Firmwareversionen eingespielt werden.

Golem Karrierewelt
  1. Adobe Photoshop für Social Media Anwendungen: virtueller Zwei-Tage-Workshop
    28./29.09.2022, virtuell
  2. Apache Kafka Grundlagen: virtueller Zwei-Tage-Workshop
    22./23.11.2022, Virtuell
Weitere IT-Trainings

Außerdem seien auf dem Gerät die privaten Schlüssel für die Proxy-Verschlüsselung Stunnel enthalten und ließen sich auslesen. Weitere vertrauliche Informationen wie Passwörter werden in /var/passwd im Klartext abgespeichert. Den auf dem Gerät laufenden DHCP-Dienst könnten zudem Befehle untergeschoben werden, die mit Root-Rechten ausgeführt werden.

D-Link hat nach eigenen Angaben "direkt" nach Veröffentlichung des Artikels Schritte eingeleitet, um die beschriebenen Probleme zu lösen. Auf Anfrage von Golem.de teilte das Unternehmen mit, am 19. September ein Update zur Verfügung stellen zu wollen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Gene Roddenberrys andere Sci-Fi-Stoffe
Neben Star Trek leider fast vergessen

Der Name Gene Roddenberry steht vor allem für Star Trek. Nach dem Ende der klassischen Serie hat er aber noch andere Science-Fiction-Stoffe entwickelt.
Von Peter Osteried

Gene Roddenberrys andere Sci-Fi-Stoffe: Neben Star Trek leider fast vergessen
Artikel
  1. Carsten Spohr: Lufthansa-Chef wird Opfer eigener Sicherheitslücke
    Carsten Spohr
    Lufthansa-Chef wird Opfer eigener Sicherheitslücke

    Unbekannte haben einen QR-Code auf einem Boardingpass von Lufthansa-Chef Carsten Spohr ausgelesen und auf persönliche Daten zugreifen können.

  2. Illegales Streaming: House of Dragons bei Piraten beliebter als Ringe der Macht
    Illegales Streaming
    House of Dragons bei Piraten beliebter als Ringe der Macht

    Das Game-of-Thrones-Prequel hat mehr Zuschauer als die neue Herr-der-Ringe-Serie - zumindest via Bittorrent.

  3. Showcar: Renault 5 Turbo 3E kommt als Driftauto mit Elektromotoren
    Showcar
    Renault 5 Turbo 3E kommt als Driftauto mit Elektromotoren

    Renault hat sich zum 50. Geburtstag des Renault 5 den R5 Turbo 3E einfallen lassen. Das Showcar mit zwei E-Motoren ist wie gemacht zum Driften.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • CyberWeek: Bis -53% auf Gaming-Zubehör und bis -45% auf PC-Audio • Crucial 16-GB-Kit DDR5-4800 69,99€ • Crucial P2 1 TB 67,90€ • MindStar (u. a. Intel Core i5-12600 239€ und Fastro 2-TB-SSD 128€) • Logitech G Pro Gaming Keyboard 77,90€ • Apple iPhone 12 64 GB 659€ [Werbung]
    •  /