Abo
  • Services:

Sicherheitslücke: Netgear verwendet hartcodierte Schlüssel

Ein Routermodell von Netgear weist eine gravierende Schwachstelle auf: Auf dem Gerät befinden sich ein hartcodierter Verschlüsselungskey und ein Zertifikat, die von Angreifern missbraucht werden können. Für das Update braucht Netgear mehr als sechs Monate.

Artikel veröffentlicht am ,
Zwei Router von Netgear haben gravierende Sicherheitslücken.
Zwei Router von Netgear haben gravierende Sicherheitslücken. (Bild: Amazon/Netgear)

Um die Sicherheit von Routern ist es insgesamt nicht gut bestellt, jetzt wurde erneut eine kritische Sicherheitslücke in Routern der Marke Netgear gefunden. Der Hersteller hatte die Geräte mit der Bezeichnung D6000 und D3600 mit einem hartcodierten RSA-Key und einem X.509-Zertifikat ausgestattet. Außerdem kann das Adminpasswort ausgelesen werden.

Stellenmarkt
  1. Lachmann & Rink GmbH, Freudenberg und Dortmund
  2. T-Systems Multimedia Solutions GmbH, Berlin, Dresden, Jena, Leipzig oder Rostock

Angreifer, die Kenntnis dieser Informationen haben, könnten diese ausnutzen, um Man-in-the-Middle-Angriffe zu starten und den verschlüsselten Traffic mitzulesen. Netgear selbst hat FAQ-Seiten bereitgestellt.

Weitere Sicherheitslücke ermöglicht Umgehung von Anmeldung

Ein Angreifer könnte außerdem eine weitere Sicherheitslücke ausnutzen, heißt es in dem Beitrag. Durch Aufruf der URL /cgi-bin/passrec.asp kann die Passwortwiederherstellungsseite aufgerufen und dort das Administratorpasswort ausgelesen werden.

Betroffen sind die Firmware-Versionen 1.0.0.47 und 1.0.049. Andere Versionen und weitere Modelle seien möglicherweise auch betroffen, heißt es in dem Post des Computer-Emergency-Response-Teams der Carnegie-Mellon-Universität. Die neue Firmware-Version entfernt die Funktion zur Wiederherstellung des Passworts nach Angaben von Netgear komplett.

Der Fehler wurde Netgear bereits am 10. Dezember 2015 gemeldet, das Update ist jedoch erst jetzt erschienen. Für die Sicherheitslücken wurden die CVE-Nummern CVE-2015-8288 und CVE-2015-8289 vergeben. Die Sicherheitslücke wurde von Mandar Jadhav von der Sicherheitsfirma Qualys gemeldet. Die beiden betroffenen Geräte sind nicht nur Router, sondern bieten ebenfalls Modemfunktionalität.



Anzeige
Top-Angebote
  1. (u. a. PSN Card 20€ für 17,99€, Assassin's Creed Odyssey für 24,99€ und Tropico 6 für 31...
  2. (u. a. Fallout 4 GOTY für 26,99€ und Season Pass für 14,99€, Skyrim Special Edition für 17...
  3. (u. a. Logitech G910 + G402 für 99€ und ASUS Dual Radeon RX 580 OC + SanDisk SSD Plus 240 GB...
  4. (aktuell u. a. Corsair CX750 für 64,90€ + Versand)

Folgen Sie uns
       


Schneller 3D-Drucker vom Fraunhofer IWU - Bericht

Ein 3D-Drucker für die Industrie: Das Fraunhofer IWU stellte auf der Hannover Messe 2019 einen 3D-Drucker vor, der deutlich schneller ist als herkömmliche Geräte dieser Art.

Schneller 3D-Drucker vom Fraunhofer IWU - Bericht Video aufrufen
P30 Pro im Kameratest: Huawei baut die vielseitigste Smartphone-Kamera
P30 Pro im Kameratest
Huawei baut die vielseitigste Smartphone-Kamera

Huawei will mit dem P30 Pro seinen Vorsprung vor den Smartphone-Kameras der Konkurrenez ausbauen - und schafft es mit einigen grundlegenden Veränderungen.
Ein Test von Tobias Költzsch

  1. Huawei-Gründer "Warte auf Medikament von Google gegen Sterblichkeit"
  2. 5G-Ausbau Sicherheitskriterien führen nicht zu Ausschluss von Huawei
  3. Kritik an Eckpunkten Bitkom warnt vor deutschem Alleingang bei 5G-Sicherheit

Swobbee: Der Wechselakku kommt wieder
Swobbee
Der Wechselakku kommt wieder

Mieten statt kaufen, wechseln statt laden: Das Berliner Startup Swobbee baut eine Infrastruktur mit Lade- und Tauschstationen für Akkus auf. Ein ähnliches Geschäftsmodell ist schon einmal gescheitert. Dieses kann jedoch aufgehen.
Eine Analyse von Werner Pluta

  1. Elektromobilität Seoul will Zweirad-Kraftfahrzeuge und Minibusse austauschen
  2. Rechtsanspruch auf Wallboxen Wohnungswirtschaft warnt vor "Schnellschuss" bei WEG-Reform
  3. Innolith Energy Battery Schweizer Unternehmen entwickelt sehr leistungsfähigen Akku

Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck


      •  /