News: Offen wie ein Scheunentor!
Fast jeder hat einen Router Zuhause stehen, kaum jemand macht sich Gedanken über ihn - der DSL-Router. Diese kleinen Computer auf denen in der Regel eine Linux-Variante läuft und das heimische Netzwerk mit dem Internet verbinden sind mittlerweile die gängige Schnittstelle die das private Netz vom Internet abschotten und somit vor Zugriffen von Außen schützen sollen.
Beide Geräte akzeptieren Kommandos aus dem Internet ohne Authentifizierung und führen diese mit Root-Rechten aus.
Richtig gelesen. Ohne Kenntnis eines Benutzernamens oder Passwortes kann jede Person weltweit via Internet jeglichen beliebigen Befehl auf diesen kleinen Linux-Rechnern mit vollen Root-Rechten ausführen, die Kenntnis der IP-Adresse des Gerätes reicht (oder einfach ein Scan im Internet nach verwundbaren Geräten).
Was man damit alles anstellen kann ist fatal. Angefangen vom unbrauchbar machen der Geräte, über die Änderung von DNS-Einstellungen um Benutzer auf gefälschte Seiten umzuleiten bis hin zur Installation eigener Module zum Protokollieren des Datenverkehrs und den Einbruch in das interne (eigentlich meist durch NAT unsichtbare) Netzwerk.
Laut eigener Aussage hat Messner die Firma D-Link bereits im Dezember 2012 auf die Lücken aufmerksam gemacht, jedoch hielt D-Link diese für nicht schwerwiegend genug um sie beseitigen zu wollen. Somit kann man aktuell nur vom Einsatz der betroffenen Geräte abraten da es keinen bekannten Workaround hiergegen gibt.
Sicherheitslücken kommen vor, auch bei Routern - davor ist niemand gefeit. Das mag unschön sein, passiert jedoch immer einmal wieder. Gravierend wird es, wenn diese Sicherheitslücken über das Internet ausnutzbar sind und katastrophal wenn dies auch noch ohne die Notwendigkeit einer Anmeldung geschehen kann.
Aber so richtig zum GAU wird es, wenn ein Hersteller keine Anstrengungen unternimmt eine so schwerwiegende Lücke zeitnah zu stopfen und seine Kunden im Regen stehen lässt - und in diesem Fall ist es nicht einmal mehr Regen, denn diese Geräte sind aktuell nur als Scheunentore zu bezeichnen und es ist nur eine Frage der Zeit bis die ersten automatisierten Angriffe auf die Geräte los gehen.
mi~we
jueki
