Abo
  • Services:
Anzeige
In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke.
In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke. (Bild: Huawei)

Huawei: SMS verschicken auf fremde Kosten

In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke.
In der Software des Surfsticks Huawei E303 ist eine Sicherheitslücke. (Bild: Huawei)

Eine Sicherheitslücke in einem weit verbreiteten USB-UMTS-Stick ermöglicht es Angreifern, mit einer manipulierten Webseite SMS zu verschicken. Ein Update gibt es bisher nicht.

Der Huawei E303 ist zurzeit einer der meistverkauften UMTS-Sticks für USB-Anschlüsse. Doch der E303 hat offenbar eine schwerwiegende Sicherheitslücke: Über eine sogenannte Cross-Site-Request-Forgery-Attacke (CSRF) kann ein Angreifer SMS verschicken, wenn das Opfer auf eine speziell präparierte Webseite surft.

Anzeige

Entdeckt hat das Problem der Sicherheitsexperte Benjamin Daniel Mussler. Mussler hatte nach eigenen Angaben Huawei bereits im Dezember 2013 auf dieses Problem hingewiesen. Zunächst erfolgte keine Reaktion. Nachdem Mussler eine Veröffentlichung der Sicherheitslücke für den 30. Mai angekündigt hatte, meldete sich Huawei wenige Tage vorher bei ihm. Behoben ist das Problem bisher noch nicht. Die Sicherheitslücke hat die ID CVE-2014-2946 erhalten.

Noch kein Update

Der E303 besitzt ein Webinterface, über welches SMS verschickt werden können. Offenbar gibt es dabei keinerlei Schutzfunktionen. Die Kosten, die für die versendeten SMS entstehen, trägt logischerweise das Opfer. Mit Hilfe des XmlHttpRequest-Protokolls können SMS auch von Dritten verschickt werden, wenn ein Anwender eine entsprechend präparierte Webseite aufruft. Damit unterscheidet sich diese Sicherheitslücke von üblichen CSRF-Sicherheitslücken, die in der Regel über GET- oder POST-Variablen ausgelöst werden. Doch auch XmlHttpRequest-Zugriffe können von Dritten über bösartige Webseiten ausgeführt werden.

Der E303-Stick bietet die Möglichkeit, über das Webinterface Firmwareupdates zu installieren. Doch zurzeit findet man auf der Huawei-Webseite kein Update für das betroffene Gerät.

Nutzer des entsprechenden Sticks können sich möglicherweise temporär mit Browserplugins oder der Sperrung des Webinterfaces helfen. Mussler hat auf seiner Webseite eine Anleitung, wie in Opera und im Internet Explorer die entsprechenden Seiten gesperrt oder der Zugriff darauf beschränkt werden können. Wenn der Zugriff auf die Pseudo-Adresse http://hi.link und auf die IP des Geräts (üblicherweise 192.168.1.1) im Browser unterbunden wird, stoppt das den Angriff. In Firefox kann man mit Hilfe der Noscript-Erweiterung den Angriff verhindern, wenn man die Funktion "Application Boundaries Enforcer" aktiviert hat. Für den Chrome-Browser gibt es offenbar keine einfache Möglichkeit, diesen Angriff zu verhindern.


eye home zur Startseite
Yes!Yes!Yes! 03. Jun 2014

Der Browser ist nicht dazu da, Fehler irgendwelcher Routerhersteller zu lösen.

Yes!Yes!Yes! 03. Jun 2014

wenn du mal mitten in der Pampa stehst und kaum GSM-Netz vorhanden ist. ...

cars10 02. Jun 2014

Was macht eine Website anders damit sie speziell präpariert und nicht nur präpariert...



Anzeige

Stellenmarkt
  1. Hauni Maschinenbau GmbH, Hamburg
  2. mission<one>, Neu-Ulm
  3. Sky Deutschland GmbH, Unterföhring bei München
  4. über Hays AG, Stuttgart


Anzeige
Spiele-Angebote
  1. 19,99€
  2. (-72%) 5,55€
  3. (-13%) 34,99€

Folgen Sie uns
       


  1. A350-1000

    Airbus' größter zweistrahliger Jet wird ausgeliefert

  2. Flightsim Labs

    Flugsimulator-Addon klaut bei illegalen Kopien Passwörter

  3. Entdeckertour angespielt

    Assassin's Creed Origins und die Spur der Geschichte

  4. Abwehr

    Qualcomm erhöht Gebot für NXP um 5 Milliarden US-Dollar

  5. Rockpro64

    Bastelplatine kommt mit USB-C, PCIe und Sechskernprozessor

  6. Jameda

    Ärztin setzt Löschung aus Bewertungsportal durch

  7. Autonomes Fahren

    Forscher täuschen Straßenschilderkennung mit KFC-Schild

  8. Fernsehstreaming

    Magine TV zeigt RTL-Sender in HD-Auflösung

  9. TV

    SD-Abschaltung bei Satellitenfernsehen steht jetzt fest

  10. PM1643

    Samsung liefert SSD mit 31 TByte aus



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Materialforschung: Stanen - ein neues Wundermaterial?
Materialforschung
Stanen - ein neues Wundermaterial?
  1. Colorfab 3D-gedruckte Objekte erhalten neue Farbgestaltung
  2. Umwelt China baut 100-Meter-Turm für die Luftreinigung
  3. Crayfis Smartphones sollen kosmische Strahlung erfassen

Samsung C27HG70 im Test: Der 144-Hz-HDR-Quantum-Dot-Monitor
Samsung C27HG70 im Test
Der 144-Hz-HDR-Quantum-Dot-Monitor
  1. Volumendisplay US-Forscher lassen Projektion schweben wie in Star Wars
  2. Sieben Touchscreens Nissan Xmotion verwendet Koi als virtuellen Assistenten
  3. CJ791 Samsung stellt gekrümmten Thunderbolt-3-Monitor vor

Lebensmittel-Lieferservices: Für Berufstätige auf dem Lande oft "praktisch nicht nutzbar"
Lebensmittel-Lieferservices
Für Berufstätige auf dem Lande oft "praktisch nicht nutzbar"
  1. Kassenloser Supermarkt Technikfehler bei Amazon Go
  2. Amazon Go Kassenloser Supermarkt öffnet
  3. ThinQ LG fährt voll auf künstliche Intelligenz ab

  1. Re: Recht von Jameda

    AllDayPiano | 06:10

  2. Re: Endlich das Hauptproblem erkannt

    kazhar | 06:05

  3. Re: Interessante Fragen bleiben unbeantwortet

    Mett | 05:51

  4. Re: 100$ + Netzteil + SD-Karte

    Workoft | 05:47

  5. Das ist doch mal eine tolle Idee

    motzerator | 05:25


  1. 23:10

  2. 17:41

  3. 17:09

  4. 16:32

  5. 15:52

  6. 15:14

  7. 14:13

  8. 13:55


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel