Update: AVM-Sicherheitsdebakel betrifft mehr Fritzboxen

News

Heise Security hat AVMs Sicherheits-Update für die Fritzbox-Router analysiert und so bewiesen, dass die Router auch ohne aktivierten Fernzugriff gekapert werden können. Eine mit Malware infizierte Webseite reicht demnach aus, um Angreifern die Kontrolle über den Router zu ermöglichen. Heise empfiehlt allen Fritzbox-Nutzern, schleunigst das Update zu installieren.

‹ ›

Update: Übersicht verfügbarer Sicherheitsupdates (siehe Artikelende)

Das vor knapp zwei Wochen bekannt gewordene Sicherheitsproblem der Fritzbox-Router aus dem Hause AVM hat ein dramatischeres Ausmass als bisher vom Hersteller kommuniziert wurde. Bislang hiess es von Seiten AVMs, dass die Angriffe auf die Router über die Fernzugriffsfunktion erfolgten. Experten von Heise Security haben nun das von AVM veröffentliche Sicherheits-Update analysiert und so offengelegt, dass die Sicherheitslücke auch ohne die Fernzugriffsfunktion ausgenutzt werden kann.

Gemeinsam mit dem Reverse-Engineering-Spezialisten Hanno Heinrichs zerlegte das Heise-Team das Sicherheits-Update und identifizierte die genaue Position der Schwachstelle. Demnach hat sie "nichts mit der Fernsteuerung der Router zu tun". Angreifer würden durch die Lücke die vollständige Kontrolle über das Gerät erhalten und beliebige Befehle mit Root-Rechten ausführen können. Dazu reiche es aus, dass das Opfer eine mit Malware infizierte Webseite aufrufe.

Kein Kommentar zur Heise-Analyse seitens AVM

Um das Ganze zu beweisen, setzte das Team eigens eine infizierte Webseite auf, die die Fritzboxen ihrer Besucher attackierte. Auf diese Weise konnte Heise die Konfigurationsdatei des Routers auf einen externen Server kopieren. Die Datei beinhaltet unter anderem das Administrator-Passwort der Fritzbox sowie andere sensible Daten in unverschlüsselter Form. Beispielsweise die Benutzernamen und Passwörter für den Internetzugang. Vor diesem Hintergrund wird deutlich, wie sich die unbekannten Angreifer Zugang zu den Fritzboxen und vor allem zu den Passwörtern der Nutzer verschaffen konnten.

Wie einem Bericht der FAZ zu entnehmen ist, wollte AVM gegenüber der DPA die Heise-Analyse nicht kommentieren. Ein AVM-Sprecher verwies lediglich darauf, dass AVM von der Polizei zu Stillschweigen gebeten worden sei. AVM wie auch die Experten von Heise empfehlen allen Fritzbox-Nutzern, das Sicherheits-Update zu installieren. Dazu seien keine besonderen Anwenderkenntnisse nötig. Die Assistenzfunktion der Fritzbox führe das Update weitgehend automatisch durch.

Update: Auszug der Hersteller-Webseite

Für WLAN-Repeater und Powerline-Produkte mit WLAN-Funktion hat AVM ebenfalls ein Update bereitgestellt. Eine reale Bedrohung besteht zurzeit nicht, das Risiko wird von AVM als gering eingeschätzt. Auch wenn keine kriminellen Angriffe bekannt geworden sind, empfiehlt AVM trotzdem das Update.