Heimnetzwerke - WIFI, LAN, Router und Co 16.515 Themen, 81.077 Beiträge

Fast jeder hat einen Router Zuhause stehen, kaum jemand macht sich Gedanken über ihn - der DSL-Router. Diese kleinen Computer auf denen in der Regel eine Linux-Variante läuft und das heimische Netzwerk mit dem Internet verbinden sind mittlerweile die gängige Schnittstelle die das private Netz vom Internet abschotten und somit vor Zugriffen von Außen schützen sollen.

Wenn in diesen Geräten Sicherheitslücken auftauchen ist dies meist aufgrund der Verbreitung und der zentralen Funktion sehr unangenehm, so auch im aktuellen Fall von D-Link und der beiden Router DIR-300 und DIR-600. Laut dem Security Consultant Michael Messner weißen diese beiden Geräte auch in der aktuellsten Firmware-Version eine (bzw. mehrere) schwere Sicherheitslücken auf. So speichern die Geräte zum Beispiel das Root-Passwort im Klartext in der Datei /etc/passwd (nachdem dieses Problem wohl schon einmal beseitigt gewesen war). Dies ist unschön, aber noch vergleichsweise harmlos verglichen mit dem anderen Problem auf dies Messner stieß:

Beide Geräte akzeptieren Kommandos aus dem Internet ohne Authentifizierung und führen diese mit Root-Rechten aus.

Richtig gelesen. Ohne Kenntnis eines Benutzernamens oder Passwortes kann jede Person weltweit via Internet jeglichen beliebigen Befehl auf diesen kleinen Linux-Rechnern mit vollen Root-Rechten ausführen, die Kenntnis der IP-Adresse des Gerätes reicht (oder einfach ein Scan im Internet nach verwundbaren Geräten).

Was man damit alles anstellen kann ist fatal. Angefangen vom unbrauchbar machen der Geräte, über die Änderung von DNS-Einstellungen um Benutzer auf gefälschte Seiten umzuleiten bis hin zur Installation eigener Module zum Protokollieren des Datenverkehrs und den Einbruch in das interne (eigentlich meist durch NAT unsichtbare) Netzwerk.

Laut eigener Aussage hat Messner die Firma D-Link bereits im Dezember 2012 auf die Lücken aufmerksam gemacht, jedoch hielt D-Link diese für nicht schwerwiegend genug um sie beseitigen zu wollen. Somit kann man aktuell nur vom Einsatz der betroffenen Geräte abraten da es keinen bekannten Workaround hiergegen gibt.