Vodafone Easybox 804: Angeblich Hochladen von Schadsoftware möglich

Auf den Standard-WLAN-Router von Vodafone könne wegen eines Softwarefehlers eine fremde Firmware hochgeladen werden, behauptet eine IT-Firma. Vodafone bestreitet das und verweist auf die schützende Signaturprüfung.

Artikel veröffentlicht am ,
Vodafones Easybox 804 wird in Deutschland als Standardrouter ausgeliefert.
Vodafones Easybox 804 wird in Deutschland als Standardrouter ausgeliefert. (Bild: Vodafone/geändert)

Der in Deutschland weit verbreitete WLAN-Router Easybox 804 von Vodafone soll durch eine Sicherheitslücke angreifbar sein. Angaben der deutschen IT-Firma Prosec Networks zufolge lässt sich durch einfaches Zurücksetzen des Passworts ein Factory Reset provozieren. Der Reset deaktiviert demnach fälschlicherweise gleichzeitig die Authentifizierung der Firmwareupdate-Funktion. Vodafone hat das nach eigenen Angaben überprüft und ist zu anderen Ergebnissen gekommen.

Vollständige Übernahme des Routers?

Stellenmarkt
  1. Projektmanager ERP-Software (m/w/d) TimeLine
    TimeLine Consulting Wuppertal GmbH, Wuppertal
  2. SAP Basis Administrator (m/w/d)
    operational services GmbH & Co. KG, München
Detailsuche

Dieser Fehler ermögliche es einem Angreifer im lokalen Netzwerk, "eine modifizierte, schadhafte Firmware hochzuladen und die gesamte Box zu kompromittieren", sagte der Geschäftsführer von Prosec, Tim Schughart, Golem.de. Auf diese Weise könne man unter anderem SSH-Ports freischalten und den gesamten Datenverkehr mitlesen.

Im Fall der Easybox 804 wäre es sogar besonders leicht, eine modifizierte Firmware zu erstellen. Vodafone hat deren Quellcode unter der GPL lizenziert und stellt ihn Interessierten auf Anfrage zur Verfügung. Was Programmierer und Bastler grundsätzlich freuen dürfte, könnte sich für Vodafone hier vielleicht zum Nachteil auswirken.

Vodafone äußerte sich nach Veröffentlichung unseres ursprünglichen Artikels und bestreitet die Existenz der Lücke: "Unsere Security und Technik haben die vermeintlichen Schwachstellen [...] geprüft. Das Ergebnis: Die in den Hinweisen der Firma Prosec [...] kolportierten Schwachstellen sind nicht zutreffend", sagte eine Sprecherin. Dies hätten erneut erfolgte Tests von Vodafone und des Herstellers Cisco bestätigt sowie Prüfberichte, "die Vodafone vor der Einführung der Box in Auftrag gegeben hatte."

Aussage gegen Aussage

Golem Karrierewelt
  1. AZ-104 Microsoft Azure Administrator: virtueller Vier-Tage-Workshop
    19.-22.09.2022, virtuell
  2. Deep-Dive Kubernetes – Production Grade Deployments: virtueller Ein-Tages-Workshop
    20.09.2022, Virtuell
Weitere IT-Trainings

Prosec Networks besteht dennoch auf der Korrektheit seiner Tests. Das Hochladen einer potenziell schadhaften Firmware sei ohne Passworteingabe erfolgreich getestet worden. Ein von Prosec Networks angefertigtes Video zeigt, dass der Angreifer dabei entweder per LAN verbunden sein oder aber das Standard-WLAN-Passwort des Routers kennen muss, auf das die Easybox nach dem Factory Reset zurück gesetzt wird. Vodafone dagegen unterstreicht, der WPA-Schlüssel sei "komplex" und würde "für jedes Gerät individuell zufällig generiert".

Betroffen sind laut Prosec Networks alle Versionen des Modells Easybox 804, die in Deutschland standardmäßig an Vodafone-Kunden ausgeliefert werden. Auch die neueste Firmware-Version 01.05 vom 20. Oktober 2015 enthalte den Fehler. Prosec Networks habe nun bei Vodafone den Quellcode der Original-Firmware beantragt, um weitere Tests durchführen zu können.

Nachtrag vom 20. Juli 2016, 15:36 Uhr

Ursprünglich hatten wir basierend auf den Informationen von Prosec berichtet, es gebe zwei Sicherheitslücken im WLAN-Router Easybox 804 von Vodafone. Eine detaillierte Stellungnahme von Vodafone lag uns zu dem Zeitpunkt noch nicht vor. Mittlerweile spricht Prosec Networks nur noch von einer Lücke. Das Unternehmen hat eingeräumt, dass die ursprünglich behauptete mögliche Installation einer fremden Firmware nicht getestet wurde, diese werde - wie Vodafone bestätigt - durch eine Signaturprüfung verhindert. Lediglich der Upload fremder Firmware wurde laut Prosec Networks erfolgreich getestet. Vodafone hat sich inzwischen auch dazu geäußert. Dem Unternehmen zufolge gibt es keine der beiden Sicherheitslücken. Wir haben den Artikel entsprechend angepasst und die neuen Statements hinzugefügt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Kabbone 21. Jul 2016

Mag sein, aber deswegen ist es per se nicht korrekt, dass allgemein das Wlan Passwort...

AlexanderSchäfer 19. Jul 2016

Wie soll denn ein Angreifer Zugriff auf das lokale Netz bekommen? Sein WLAN-Passwort...

strik0r 19. Jul 2016

Ich hatte die Box selbst für 1 Woche im Einsatz. Das Ding ist mega scheisse. Der...

Red-Bull 19. Jul 2016

Dann kann man es ja super einfach dafür bereitstellen oder? :)



Aktuell auf der Startseite von Golem.de
Linux-Distro
CutefishOS ist doch nicht tot.

CutefishOS ist eine von Hunderten Linux-Distibutionen. Es starb, sollte geforkt werden und war plötzlich wieder da. Und wieso? Weil es "cute" ist.
Von Boris Mayer

Linux-Distro: CutefishOS ist doch nicht tot.
Artikel
  1. AKW Saporischschja: Ukraine äußert Sorge vor Atomkatastrophe
    AKW Saporischschja
    Ukraine äußert Sorge vor Atomkatastrophe

    Die Ukraine meldet, Russland habe das Kernkraftwerk Saporischschja mit Sprengstoff bestückt. Eine Sprengung könnte eine Katastrophe auslösen.

  2. Quartalszahlen: Nvidias Gaming-Geschäft verliert ein Drittel
    Quartalszahlen
    Nvidias Gaming-Geschäft verliert ein Drittel

    Eine Umsatzwarnung vorab: Nvidia hat im zweiten Quartal 2022 weit über eine Milliarde US-Dollar weniger mit Geforce-Grafikkarten verdient.

  3. Sparmaßnahmen: Komplettes Chaos nach Entlassungen bei Oracle
    Sparmaßnahmen
    "Komplettes Chaos" nach Entlassungen bei Oracle

    Auch Oracle hat einen massiven Stellenabbau begonnen. Das Unternehmen will eine Milliarde US-Dollar an Kosten einsparen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Günstig wie nie: MSI 29,5" 200 Hz 259€, LG QNED 75" 120 Hz 1.455,89€ • MindStar (XFX RX 6950 XT 999€, Gainward RTX 3070 559€) • WD Black 2TB m. Kühlkörper (PS5) 219,90€ • Gigabyte Deals • Der beste Gaming-PC für 2.000€ • Apple Week bei Media Markt • be quiet! Deals [Werbung]
    •  /