Sicherheitslücke: D-Link bestätigt Backdoor im Router DIR-100

In der in Deutschland verkauften Revision A des Routers DIR-100 gibt es eine gefährliche Hintertür. Damit können Angreifer auf einfache Weise auf die Konfiguration des Geräts zugreifen und den Internetanschluss für eigene Zwecke missbrauchen.

Artikel veröffentlicht am ,
Der Router DIR-100 von D-Link weist in Revision A eine gefährliche Sicherheitslücke auf.
Der Router DIR-100 von D-Link weist in Revision A eine gefährliche Sicherheitslücke auf. (Bild: D-Link)

Bestimmte Routermodelle des Herstellers D-Link besitzen eine trivial ausnutzbare Hintertür zum Zugriff auf die Konfiguration des Geräts. Betroffen ist auch das einfache Gerät DIR-100 in Revision A, ein Router ohne WLAN, der so auch in Deutschland verkauft wurde. Dies bestätigte D-Link Golem.de auf Anfrage. Die aktuell auf dem Markt befindliche Revision D des Geräts soll die Lücke nicht aufweisen.

Stellenmarkt
  1. IT-Security-Architect (m/w/d)
    Rundfunk Berlin-Brandenburg (rbb), Berlin, Potsdam
  2. Softwareentwicklerin (w/m/d) Querschnitt und Umgebungsmanagement
    Landesamt für Steuern Niedersachsen, Hannover
Detailsuche

Entdeckt wurde der Fehler durch das Projekt DEV/TTYS0, das eine ausführliche Analyse dazu erstellt hat. Der Kern der Lücke ist eine Hintertür, die Zugriff auf die Einstellungen der Router ermöglicht - auch wenn der Anwender dafür einen Benutzernamen und Passwort gesetzt hat. Durch die Backdoor wird diese Abfrage schlicht umgangen.

Dafür sind keine Hackertools oder Ähnliches nötig, es reicht, in den Einstellungen eines Browsers den User-Agent des Programms auf die Zeichenkette "xmlset_roodkcableoj28840ybtide" zu setzen. Dass es sich um eine klassische Backdoor handelt, zeigt sich schon, wenn die Buchstaben rückwärts gelesen und mit Leerzeichen versehen werden, dann ergibt sich: "edit 04882 by joel backdoor". Offenbar hat sich dort ein Programmierer namens Joel verewigt.

Wie die Analyse der Firmware von TTYS0 auch zeigt, ist die Backdoor ein Trick, um einige Funktionen des Routers einfacher nutzbar zu machen. Über einen Zugriff mit dem genannten User-Agent werden beispielsweise Dyn-DNS-Dienste freigeschaltet, ohne dass der Nutzer sein Passwort eingeben müsste. Dem Anschein nach wurde hier also der Komfort über die Sicherheit gestellt.

Angriff auch per Internet möglich

Golem Akademie
  1. Adobe Photoshop für Social Media Anwendungen: virtueller Zwei-Tage-Workshop
    29./30.06.2022, virtuell
  2. C++ Programmierung Grundlagen (keine Vorkenntnisse benötigt): virtueller Drei-Tage-Workshop
    01.-03.08.2022, virtuell
Weitere IT-Trainings

Mit der Backdoor hat jeder Angreifer im lokalen Netz Zugriff auf alle Funktionen des Routers. Wenn die Konfiguration über den WAN-Port aktiviert ist, gilt das auch für Angriffe über das Internet. TTYS0 fand über den Dienst Shodan, der offene Netzwerkgeräte finden kann, Tausende betroffener Geräte.

Die hohe Anzahl resultiert daraus, dass neben dem DIR-100 auch die Modelle DI-524, DI-524UP, DI-604S, DI-604UP, DI-604+ sowie die bauähnlichen Geräte von Drittherstellern TM-G5240, BRL-04UR und BRL-04CW betroffen sein sollen. Wie D-Link Golem.de sagte, wurden diese Modelle aber nicht in Deutschland, Österreich und der Schweiz angeboten. Das laut Nutzerkommentaren bei TTYS0 ebenfalls betroffene Modell DIR-615, das auch von einigen Providern an Nutzer vertrieben wurde, weist D-Link zufolge den Fehler nicht auf.

Wer also insbesondere einen DIR-100 in Revision A benutzt, sollte vor allem die Konfiguration über das Internet tunlichst ausschalten. Das schützt allerdings noch nicht gegen Angriffe aus dem lokalen Netz, das kann erst eine neue Firmware leisten. D-Link prüft den Sachverhalt derzeit noch und will zunächst über einen Media Alert weitere Redaktionen in Kenntnis setzen. Auf der Sicherheitsseite von D-Link ist die Backdoor noch nicht verzeichnet. Wie eine für die Kunden praktikable Lösung des Problems aussehen soll, hat das Unternehmen noch nicht bekanntgegeben.

Nachtrag vom 15. Oktober 2013, 18:10 Uhr

Nicht nur der DIR-100 in Revision A, sondern auch der DI-524UP ist von der Lücke betroffen, wie D-Link jetzt mitteilte. Für beide Router will das Unternehmen im November 2013 eine neue Firmware veröffentlichen, welche das Problem behebt. Hintergründe finden sich in einer aktuellen Meldung.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Forschung
Blaualge versorgt Computer sechs Monate mit Strom

Ein Forschungsteam hat einen Mikroprozessor sechs Monate ununterbrochen mit Strom versorgt. Die Algen lieferten sogar bei Dunkelheit.

Forschung: Blaualge versorgt Computer sechs Monate mit Strom
Artikel
  1. EC-Karte: Trotz Kartensperre können Diebe stundenlang Geld abheben
    EC-Karte
    Trotz Kartensperre können Diebe stundenlang Geld abheben

    Eine Sperre der Girocard wird nicht immer sofort aktiv. Verbraucher können sich bereits im Vorfeld schützen.

  2. Swisscom-Chef: Vermasselt habe ich nichts
    Swisscom-Chef
    "Vermasselt habe ich nichts"

    Urs Schaeppi gibt den Chefposten bei Swisscom auf. Sein Rückblick auf neun Jahre Konzernführung fällt ungewöhnlich offen aus.

  3. EV Driver Survey: Elektroautos bei IT-Experten besonders beliebt
    EV Driver Survey
    Elektroautos bei IT-Experten besonders beliebt

    Fahrerlebnis und Technik sind für Fahrer von Elektroautos der größte Zusatznutzen dieser Mobilitätsform. Fast alle würden wieder ein E-Auto kaufen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • LG OLED TV (2021) 77" günstig wie nie: 1.771,60€ statt 4.699€ • Grakas günstig wie nie (u. a. RTX 3080Ti 1.285€) • Samsung SSD 1TB (PS5-komp.) + Heatsink günstig wie nie: 143,99€ • Microsoft Surface günstig wie nie • Jubiläumsdeals MediaMarkt • Bosch Prof. bis 53% günstiger[Werbung]
    •  /