Abo
  • Services:
Anzeige
In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke.
In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke. (Bild: Huawei)

Huawei: SMS verschicken auf fremde Kosten

Eine Sicherheitslücke in einem weit verbreiteten USB-UMTS-Stick ermöglicht es Angreifern, mit einer manipulierten Webseite SMS zu verschicken. Ein Update gibt es bisher nicht.

Anzeige

Der Huawei E303 ist zurzeit einer der meistverkauften UMTS-Sticks für USB-Anschlüsse. Doch der E303 hat offenbar eine schwerwiegende Sicherheitslücke: Über eine sogenannte Cross-Site-Request-Forgery-Attacke (CSRF) kann ein Angreifer SMS verschicken, wenn das Opfer auf eine speziell präparierte Webseite surft.

Entdeckt hat das Problem der Sicherheitsexperte Benjamin Daniel Mussler. Mussler hatte nach eigenen Angaben Huawei bereits im Dezember 2013 auf dieses Problem hingewiesen. Zunächst erfolgte keine Reaktion. Nachdem Mussler eine Veröffentlichung der Sicherheitslücke für den 30. Mai angekündigt hatte, meldete sich Huawei wenige Tage vorher bei ihm. Behoben ist das Problem bisher noch nicht. Die Sicherheitslücke hat die ID CVE-2014-2946 erhalten.

Noch kein Update

Der E303 besitzt ein Webinterface, über welches SMS verschickt werden können. Offenbar gibt es dabei keinerlei Schutzfunktionen. Die Kosten, die für die versendeten SMS entstehen, trägt logischerweise das Opfer. Mit Hilfe des XmlHttpRequest-Protokolls können SMS auch von Dritten verschickt werden, wenn ein Anwender eine entsprechend präparierte Webseite aufruft. Damit unterscheidet sich diese Sicherheitslücke von üblichen CSRF-Sicherheitslücken, die in der Regel über GET- oder POST-Variablen ausgelöst werden. Doch auch XmlHttpRequest-Zugriffe können von Dritten über bösartige Webseiten ausgeführt werden.

Der E303-Stick bietet die Möglichkeit, über das Webinterface Firmwareupdates zu installieren. Doch zurzeit findet man auf der Huawei-Webseite kein Update für das betroffene Gerät.

Nutzer des entsprechenden Sticks können sich möglicherweise temporär mit Browserplugins oder der Sperrung des Webinterfaces helfen. Mussler hat auf seiner Webseite eine Anleitung, wie in Opera und im Internet Explorer die entsprechenden Seiten gesperrt oder der Zugriff darauf beschränkt werden können. Wenn der Zugriff auf die Pseudo-Adresse http://hi.link und auf die IP des Geräts (üblicherweise 192.168.1.1) im Browser unterbunden wird, stoppt das den Angriff. In Firefox kann man mit Hilfe der Noscript-Erweiterung den Angriff verhindern, wenn man die Funktion "Application Boundaries Enforcer" aktiviert hat. Für den Chrome-Browser gibt es offenbar keine einfache Möglichkeit, diesen Angriff zu verhindern.


eye home zur Startseite
Yes!Yes!Yes! 03. Jun 2014

Der Browser ist nicht dazu da, Fehler irgendwelcher Routerhersteller zu lösen.

Yes!Yes!Yes! 03. Jun 2014

wenn du mal mitten in der Pampa stehst und kaum GSM-Netz vorhanden ist. ...

cars10 02. Jun 2014

Was macht eine Website anders damit sie speziell präpariert und nicht nur präpariert...



Anzeige

Stellenmarkt
  1. OSRAM GmbH, Garching bei München
  2. DATAGROUP Köln GmbH, Starnberg bei München
  3. twocream, Wuppertal
  4. HDPnet GmbH, Heidelberg


Anzeige
Top-Angebote
  1. 89,90€ (Vergleichspreis ab 129,84€)
  2. (u. a. Playstation 4 + Spiel + 2 Controller 269,00€, iRobot Roomba 980 nur 777€)

Folgen Sie uns
       


  1. VLC, Kodi, Popcorn Time

    Mediaplayer können über Untertitel gehackt werden

  2. Engine

    Unity bekommt 400 Millionen US-Dollar Investorengeld

  3. Neuauflage

    Neues Nokia 3310 soll bei Defekt komplett ersetzt werden

  4. Surface Studio

    Microsofts Grafikerstation kommt nach Deutschland

  5. Polar

    Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung

  6. Schutz

    Amazon rechtfertigt Sperrungen von Marketplace-Händlern

  7. CPU-Architektur

    RISC-V-Patches für Linux erstmals eingereicht

  8. FSP Hydro PTM+

    Wassergekühltes PC-Netzteil liefert 1.400 Watt

  9. Matebook X und E im Hands on

    Huawei kann auch Notebooks

  10. Celsius-Workstations

    Fujitsu bringt sichere Notebooks und kabellose Desktops



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Quantencomputer: Nano-Kühlung für Qubits
Quantencomputer
Nano-Kühlung für Qubits
  1. IBM Q Mehr Qubits von IBM
  2. Quantencomputer Was sind diese Qubits?
  3. Verschlüsselung Kryptographie im Quantenzeitalter

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  2. Tapdo Das Smart Home mit Fingerabdrücken steuern
  3. Mehr Möbel als Gadget Eine Holzfernbedienung für das Smart Home

Blackberry Keyone im Test: Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
Blackberry Keyone im Test
Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
  1. Blackberry Keyone kommt Mitte Mai
  2. Keyone Blackberrys neues Tastatur-Smartphone kommt später
  3. Blackberry Keyone im Hands on Android-Smartphone mit toller Hardware-Tastatur

  1. Re: Wannacry? Linux lacht :)

    ArcherV | 04:13

  2. Re: 1400W... für welche Hardware?

    ArcherV | 04:10

  3. Re: Warum überhaupt VLC nutzen

    ve2000 | 03:26

  4. Re: Unix, das Betriebssystem von Entwicklern, für...

    __destruct() | 03:26

  5. Re: Wirklich nicht umweltfreundlich?

    Onkel Ho | 03:25


  1. 18:58

  2. 18:20

  3. 17:59

  4. 17:44

  5. 17:20

  6. 16:59

  7. 16:30

  8. 15:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel