Sicherheitslücke: Linksys-Router leaken offenbar alle verbundenen Geräte

Linksys will die Sicherheitslücke bereits 2014 geschlossen haben, doch laut dem Sicherheitsforscher Troy Mursch leaken die Router weiterhin die Daten aller jemals verbundenen Geräte.

Artikel veröffentlicht am ,
Linksys-Router leaken offenbar sensible Informationen.
Linksys-Router leaken offenbar sensible Informationen. (Bild: Linksys)

Knapp drei Dutzend Routermodelle von Linksys verraten laut dem Sicherheitsforscher Troy Mursch, welche Geräte bisher mit dem Router verbunden wurden. Er konnte über 20.000 betroffene Router im Internet ausfindig machen und insgesamt 756.565 unterschiedliche MAC-Adressen auslesen. Zudem verrieten die Router, ob das Standardpasswort geändert wurde oder nicht. Linksys entgegnet, dass sie die Sicherheitslücke mit aktueller Firmware nicht reproduzieren könnten und die Lücke bereits 2014 behoben hätten. Laut Mursch lassen sich die Informationen jedoch auch mit den Patches von 2014 weiterhin auslesen. Zuerst hatte das Onlinemagazin Arstechnica berichtet.

Stellenmarkt
  1. System Engineer (m/w/d) KDO-Cloud-Arbeitsplatz
    KDO Service GmbH, Oldenburg
  2. Spezialist (m/w/d) Field Service
    METRONA GmbH & Co. KG, München
Detailsuche

Neben dem Gerätenamen, der MAC-Adresse und dem Betriebssystem konnte Mursch auch die WLAN-Einstellungen, den Status der Firewall sowie die Update-Einstellungen auslesen. Die Lücke könne jeder Internetnutzer oder Eigentümer eines der 33 betroffenen Linksys-Router leicht reproduzieren: In einem ersten Schritt müsse die IP-Adresse eines betroffenen Routers mit einem Browser geöffnet werden. Die Weboberfläche mit den Login-Feldern erscheint. Die Daten befinden sich in JNAP-Dateien, die sich über die Entwickler-Tools des Browsers direkt abrufen lassen.

Laut Mursch ist die Oberfläche der Router standardmäßig aus dem Internet zu erreichen. Dies werde für die zugehörige Linksys-App benötigt. Daher könne die Erreichbarkeit der Weboberfläche nicht ohne Weiteres eingeschränkt werden.

4.000 Router mit Standardpasswort

Bei rund 4.000 der entdeckten Router wurde laut dem Sicherheitsforscher das Standardpasswort nicht geändert. Angreifer könnten sich auf der Weboberfläche der Router anmelden und beispielsweise die verwendeten DNS-Server ändern oder die WLAN-SSID samt Passwort auslesen.

Golem Karrierewelt
  1. Entwicklung mit Unity auf der Microsoft HoloLens 2 Plattform: virtueller Zwei-Tage-Workshop
    10./11.10.2022, Virtuell
  2. CEH Certified Ethical Hacker v11: virtueller Fünf-Tage-Workshop
    05.-09.09.2022, Virtuell
Weitere IT-Trainings

Mursch hatte die Lücke am 7. Mai an Linksys gemeldet. Der Hersteller konnte die Sicherheitslücke nicht reproduzieren und vermutet, dass Mursch die Geräte mit alter Firmware oder mit deaktivierter Firewall getestet habe. Dieser entgegnet jedoch, dass er sowohl mit den Patches von 2014 als auch mit aktivierter Firewall die Daten auslesen konnte.

Autoupdate bei 15.000 Routern aktiviert

Knapp 15.000 der gefundenen Router haben laut Mursch die Auto-Update-Funktion aktiviert. "Wenn Linksys eines Tages die Sicherheitslücke behebt, werden diese Router automatisch geschützt", schreibt Mursch. Bisher gebe es keinen Schutz gegen die Sicherheitslücke.

Ende vergangenen Jahres untersuchte das American Consumer Institute WLAN-Router von 14 Herstellern auf bekannte Sicherheitslücken. Die Hersteller integrieren häufig Open-Source-Bibliotheken in ihre Firmware. Die Studie untersuchte 186 Router auf bekannte Sicherheitslücken in diesen Bibliotheken - in vier von sechs Geräten wurden sie fündig.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Rotary Phone
Vom Wählscheiben-Bastelhandy zur eigenen Produktionsanlage

Justine Haupt hat ein Handy mit Wählscheibe entworfen - und gleich eine eigene Produktionsanlage zu Hause aufgebaut. Golem.de hat mit ihr gesprochen.
Ein Interview von Tobias Költzsch

Rotary Phone: Vom Wählscheiben-Bastelhandy zur eigenen Produktionsanlage
Artikel
  1. Internet: Indien verbannt den VLC Media Player
    Internet
    Indien verbannt den VLC Media Player

    Weder Downloadlink noch Webseite des VLC Media Players können von Indien aus aufgerufen werden. Der vermutete Grund: das Nachbarland China.

  2. John Deere: Ein Hacker präsentiert ein Jailbreak für Traktoren
    John Deere
    Ein Hacker präsentiert ein Jailbreak für Traktoren

    Nicht nur Telefonhersteller vernageln ihre Geräte. Der Hacker Sick Codes zeigt, wie Root-Zugriff auf die Systeme der Traktoren zu erlangen ist.

  3. Apple Pencil: Microsoft Office soll bald Handschrift auf dem iPad erkennen
    Apple Pencil
    Microsoft Office soll bald Handschrift auf dem iPad erkennen

    Das Microsoft-Office-Paket auf dem iPad soll bald handgeschriebene Notizen in echten Text umwandeln können.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Playstation Summer Sale: Games für PS5/PS4 bis 84% günstiger • Günstig wie nie: SSD 1TB/2TB (PS5), Curved Monitor UWQHD LG 38"/BenQ 32" • Razer-Aktion • MindStar (AMD Ryzen 7 5800X3D 455€, MSI RTX 3070 599€) • Lego Star Wars Neuheiten • Bester Gaming-PC für 2.000€ [Werbung]
    •  /