Security: Standardpasswörter bei Heimroutern entdeckt
Leicht zu erratene Kennwörter und dazugehörige Standardbenutzernamen wurden auf DSL-Heimroutern der Hersteller Asus, Digicom, Observa Telecom sowie Philippine Long Distance Telephone (PLDT) und von ZTE entdeckt. Bei einigen ist das Problem bereits seit Ende 2013 bekannt, heißt es in dem Warnhinweis der Carnegie-Mellon-Universität(öffnet im neuen Fenster) . Reagiert hat der Hersteller aber bislang nicht.
Betroffen sind die Geräte DSL N12E von Asus, DG-5524T von Digicom, RTA01N des spanischen Unternehmens Observa Telecom sowie der Router Speedsurf 504AN des philippinischen Anbieters Philippine Long Distance Telephone (PLDT). Außerdem betroffen ist der Router ZXV10 W300 von ZTE. ZTE wurde bereits im Dezember 2013 informiert(öffnet im neuen Fenster) , bislang hat das Unternehmen aber noch nichts gegen die Schwachstelle unternommen. Auch beim Router von Observa Telecom ist das Problem bereits länger bekannt(öffnet im neuen Fenster) .
Leicht zu erratene Kennwörter
Auf allen Geräten setzt sich das Kennwort aus den letzten vier Ziffern der jeweiligen MAC-Adresse und der Zeichenkette airocon zusammen. Der dazugehörige Benutzername ist admin , außer beim Gerät von PLDT. Dort wurde admin um die Zeichenkette pldt erweitert.
Die MAC-Adresse lässt sich auf den Geräten über die standardmäßig aktive SNMP-Schnittstelle (Simple Network Management Protocol) aus der Ferne abfragen. Auf allen wurde zudem ein aktiver Telnet-Zugang entdeckt, über den Angreifer sich mit Benutzername und dem entsprechenden Kennwort auf dem Router einloggen können.
Dementsprechend lautet die Empfehlung der Sicherheitsforscher bei der Carnegie-Mellon-Universität, diese Ports über die integrierte Firewall für den Zugriff aus der Ferne zu schließen oder ganz zu deaktivieren, bis die Hersteller ein Update bereitstellen. Das könnte aber offenbar eine Weile dauern, wie das Beispiel der Hersteller ZTE und Observer Telecom zeigt.
Nachtrag vom 1. September 2015, 15:30 Uhr
Wie uns Asus mittelte, ist ausschließlich der im Text erwähnte Router DSL-N12E betroffen, der nur außerhalb Deutschlands erhältlich ist. Hierzulande gibt es zwar einen DSL-Router mit der gleichen Kennnummer, intern wird er aber mit der Bezeichnung DSL-N12E_C1 geführt. Dieser ist von dem Problem nicht betroffen, da er eine andere Firmware nutzt als sein Pendant. In der dort verwendeten ASUSWRT-Software lässt sich das Kennwort über die Benutzeroberfläche ändern. Bei der ersten Einrichtung werden Benutzer sogar dazu aufgefordert.