Abo
  • IT-Karriere:

Huawei: SMS verschicken auf fremde Kosten

Eine Sicherheitslücke in einem weit verbreiteten USB-UMTS-Stick ermöglicht es Angreifern, mit einer manipulierten Webseite SMS zu verschicken. Ein Update gibt es bisher nicht.

Artikel veröffentlicht am , Hanno Böck
In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke.
In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke. (Bild: Huawei)

Der Huawei E303 ist zurzeit einer der meistverkauften UMTS-Sticks für USB-Anschlüsse. Doch der E303 hat offenbar eine schwerwiegende Sicherheitslücke: Über eine sogenannte Cross-Site-Request-Forgery-Attacke (CSRF) kann ein Angreifer SMS verschicken, wenn das Opfer auf eine speziell präparierte Webseite surft.

Stellenmarkt
  1. AKKA Deutschland GmbH, München
  2. Therapon 24, Nauheim

Entdeckt hat das Problem der Sicherheitsexperte Benjamin Daniel Mussler. Mussler hatte nach eigenen Angaben Huawei bereits im Dezember 2013 auf dieses Problem hingewiesen. Zunächst erfolgte keine Reaktion. Nachdem Mussler eine Veröffentlichung der Sicherheitslücke für den 30. Mai angekündigt hatte, meldete sich Huawei wenige Tage vorher bei ihm. Behoben ist das Problem bisher noch nicht. Die Sicherheitslücke hat die ID CVE-2014-2946 erhalten.

Noch kein Update

Der E303 besitzt ein Webinterface, über welches SMS verschickt werden können. Offenbar gibt es dabei keinerlei Schutzfunktionen. Die Kosten, die für die versendeten SMS entstehen, trägt logischerweise das Opfer. Mit Hilfe des XmlHttpRequest-Protokolls können SMS auch von Dritten verschickt werden, wenn ein Anwender eine entsprechend präparierte Webseite aufruft. Damit unterscheidet sich diese Sicherheitslücke von üblichen CSRF-Sicherheitslücken, die in der Regel über GET- oder POST-Variablen ausgelöst werden. Doch auch XmlHttpRequest-Zugriffe können von Dritten über bösartige Webseiten ausgeführt werden.

Der E303-Stick bietet die Möglichkeit, über das Webinterface Firmwareupdates zu installieren. Doch zurzeit findet man auf der Huawei-Webseite kein Update für das betroffene Gerät.

Nutzer des entsprechenden Sticks können sich möglicherweise temporär mit Browserplugins oder der Sperrung des Webinterfaces helfen. Mussler hat auf seiner Webseite eine Anleitung, wie in Opera und im Internet Explorer die entsprechenden Seiten gesperrt oder der Zugriff darauf beschränkt werden können. Wenn der Zugriff auf die Pseudo-Adresse http://hi.link und auf die IP des Geräts (üblicherweise 192.168.1.1) im Browser unterbunden wird, stoppt das den Angriff. In Firefox kann man mit Hilfe der Noscript-Erweiterung den Angriff verhindern, wenn man die Funktion "Application Boundaries Enforcer" aktiviert hat. Für den Chrome-Browser gibt es offenbar keine einfache Möglichkeit, diesen Angriff zu verhindern.



Anzeige
Spiele-Angebote
  1. 4,99€
  2. (u. a. Wolfenstein: Youngblood, Days Gone, Metro Exodus, World War Z)
  3. 4,99€
  4. (u. a. FIFA 19, Battlefield V, Space Huilk Tactics, Rainbow Six Siege)

Yes!Yes!Yes! 03. Jun 2014

Der Browser ist nicht dazu da, Fehler irgendwelcher Routerhersteller zu lösen.

Yes!Yes!Yes! 03. Jun 2014

wenn du mal mitten in der Pampa stehst und kaum GSM-Netz vorhanden ist. ...

cars10 02. Jun 2014

Was macht eine Website anders damit sie speziell präpariert und nicht nur präpariert...


Folgen Sie uns
       


Pedelec HNF-Nicolai SD1 Urban ausprobiert

Wir sind das Pedelec eine Woche lang zur Probe gefahren und waren besonders vom Motor angetan.

Pedelec HNF-Nicolai SD1 Urban ausprobiert Video aufrufen
Harmony OS: Die große Luftnummer von Huawei
Harmony OS
Die große Luftnummer von Huawei

Mit viel Medienaufmerksamkeit und großen Versprechungen hat Huawei sein eigenes Betriebssystem Harmony OS vorgestellt. Bei einer näheren Betrachtung bleibt von dem großen Wurf allerdings kaum etwas übrig.
Ein IMHO von Sebastian Grüner


    Smarte Wecker im Test: Unter den Blinden ist der Einäugige König
    Smarte Wecker im Test
    Unter den Blinden ist der Einäugige König

    Einen guten smarten Wecker zu bauen, ist offenbar gar nicht so einfach. Bei Amazons Echo Show 5 und Lenovos Smart Clock fehlen uns viele Basisfunktionen. Dafür ist einer der beiden ein besonders preisgünstiges und leistungsfähiges smartes Display.
    Ein Test von Ingo Pakalski

    1. Nest Hub im Test Google vermasselt es 1A

    IT-Arbeit: Was fürs Auge
    IT-Arbeit
    Was fürs Auge

    Notebook, Display und Smartphone sind für alle, die in der IT arbeiten, wichtige Werkzeuge. Damit man etwas mit ihnen anfangen kann, ist ein anderes Werkzeug mindestens genauso wichtig: die Augen. Wir geben Tipps, wie man auch als Freiberufler augenschonend arbeiten kann.
    Von Björn König

    1. Verdeckte Leiharbeit Wenn die Firma IT-Spezialisten als Fremdpersonal einsetzt
    2. IT-Standorte Wie kann Leipzig Hypezig bleiben?
    3. IT-Fachkräftemangel Arbeit ohne Ende

      •  /