• IT-Karriere:
  • Services:

Sicherheitslücke: Netgear verwendet hartcodierte Schlüssel

Ein Routermodell von Netgear weist eine gravierende Schwachstelle auf: Auf dem Gerät befinden sich ein hartcodierter Verschlüsselungskey und ein Zertifikat, die von Angreifern missbraucht werden können. Für das Update braucht Netgear mehr als sechs Monate.

Artikel veröffentlicht am ,
Zwei Router von Netgear haben gravierende Sicherheitslücken.
Zwei Router von Netgear haben gravierende Sicherheitslücken. (Bild: Amazon/Netgear)

Um die Sicherheit von Routern ist es insgesamt nicht gut bestellt, jetzt wurde erneut eine kritische Sicherheitslücke in Routern der Marke Netgear gefunden. Der Hersteller hatte die Geräte mit der Bezeichnung D6000 und D3600 mit einem hartcodierten RSA-Key und einem X.509-Zertifikat ausgestattet. Außerdem kann das Adminpasswort ausgelesen werden.

Stellenmarkt
  1. TenneT TSO GmbH, Bayreuth, Arnhem (Niederlande)
  2. Landeshauptstadt Stuttgart, Stuttgart

Angreifer, die Kenntnis dieser Informationen haben, könnten diese ausnutzen, um Man-in-the-Middle-Angriffe zu starten und den verschlüsselten Traffic mitzulesen. Netgear selbst hat FAQ-Seiten bereitgestellt.

Weitere Sicherheitslücke ermöglicht Umgehung von Anmeldung

Ein Angreifer könnte außerdem eine weitere Sicherheitslücke ausnutzen, heißt es in dem Beitrag. Durch Aufruf der URL /cgi-bin/passrec.asp kann die Passwortwiederherstellungsseite aufgerufen und dort das Administratorpasswort ausgelesen werden.

Betroffen sind die Firmware-Versionen 1.0.0.47 und 1.0.049. Andere Versionen und weitere Modelle seien möglicherweise auch betroffen, heißt es in dem Post des Computer-Emergency-Response-Teams der Carnegie-Mellon-Universität. Die neue Firmware-Version entfernt die Funktion zur Wiederherstellung des Passworts nach Angaben von Netgear komplett.

Der Fehler wurde Netgear bereits am 10. Dezember 2015 gemeldet, das Update ist jedoch erst jetzt erschienen. Für die Sicherheitslücken wurden die CVE-Nummern CVE-2015-8288 und CVE-2015-8289 vergeben. Die Sicherheitslücke wurde von Mandar Jadhav von der Sicherheitsfirma Qualys gemeldet. Die beiden betroffenen Geräte sind nicht nur Router, sondern bieten ebenfalls Modemfunktionalität.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 229,90€ (Vergleichspreis 254€)
  2. 39,99€ (Release: 25. Juni)
  3. 699€ (Vergleichspreis 844€)

Folgen Sie uns
       


Helmholtz-Forscher arbeiten am Künstlichen Blatt - Bericht

Sonnenlicht spaltet Wasser: Ein Team von Helmholtz-Forschern bildet die Photosynthese technisch nach, um Wassesrtoff zu gewinnen.

Helmholtz-Forscher arbeiten am Künstlichen Blatt - Bericht Video aufrufen
Corona: Der Staat muss uns vor der Tracing-App schützen
Corona
Der Staat muss uns vor der Tracing-App schützen

Politiker wie Axel Voss fordern "Anreize" für die Nutzung der Corona-App. Doch das schafft nicht das notwendige Vertrauen in die staatliche Technik.
Ein Gastbeitrag von Stefan Brink und Clarissa Henning

  1. Schnittstelle installiert Android-Handys sind bereit für die Corona-Apps
  2. Corona-App Google und Apple stellen Bluetooth-API bereit
  3. Coronapandemie Quarantäne-App soll Gesundheitsämter entlasten

Realme X50 Pro im Test: Der Oneplus-Killer
Realme X50 Pro im Test
Der Oneplus-Killer

Oneplus bezeichnete sich einst als "Flagship-Killer", mittlerweile stellt sich die Frage, wer hier für wen gefährlich wird: Das X50 Pro des Schwesterunternehmens Realme ist ein wahrer "Oneplus-Killer".
Ein Test von Tobias Költzsch

  1. Astro Slide Neues 5G-Smartphone mit aufschiebbarer Tastatur
  2. Galaxy S20 Ultra im Test Samsung beherrscht den eigenen Kamerasensor nicht
  3. Red Magic 5G Neues 5G-Gaming-Smartphone kommt mit 144-Hz-Display

Minecraft Dungeons im Test: Diablo im Quadrat
Minecraft Dungeons im Test
Diablo im Quadrat

Minecraft Dungeons sieht aus wie ein Re-Skin von Diablo, ist viel einfacher aufgebaut - und fesselt uns trotzdem an den Bildschirm.
Ein Test von Peter Steinlechner

  1. Mojang Studios Mehr als 200 Millionen Einheiten von Minecraft verkauft
  2. Minecraft RTX im Test Klötzchen klotzen mit Pathtracing
  3. Raytracing Beta von Minecraft RTX startet am 16. April

    •  /