Zyxel schließt NetUSB-Sicherheitslücke bei seinen Routern

Nachdem gestern TP-Link für zahlreiche weitere seiner Router Firmware-Updates bereitgestellt hat, die das Problem mit der NetUSB-Lücke beheben, zieht heute Zyxel nach. Bei dem Hersteller sind lediglich vier Modelle davon betroffen. Für alle vier – die Modelle NBG-419N V2,, NBG4615 V2, NBG5615 und NBG5715 steht jetzt eine neue Firmware-Version als ZIP-Archiv zum Download bereit.

Wie das Unternehmen mitteilt, habe man die “in enger Zusammenarbeit mit NetUSB-Herausgeber KCodes” entwickelt und “kurzfristig die von KCodes zur Verfügung gestellten gefixten Treiber in die Router-Firmware integriert.” Das Lob für den taiwanischen Entwickler lässt deshalb aufhorchen, weil sich der vorher wenig kooperationsbereit gezeigt hatte.

Wie der Entdecker der Sicherheitslücke (CVE-2014-3036), Stefan Viehbock vom SEC Consult Vulnerability Lab, erklärte, habe man ihn nämlich bereits im Februar zu kontaktieren versucht. Allerdings habe man zunächst keine Antwort erhalten. Im März habe er dann einen vereinbarten Termin für eine Telefonkonferenz kurzfristig wieder abgesagt.

Bevor SEC Consult Informationen zu der Schwachstelle veröffentlichte, hatte, es Gerätehersteller und CERTs informiert. Über die Schwachstelle ist es unautorisierten Nutzern möglich, einen Kernel-Stack-Pufferüberlauf auszulösen, der wiederum Denial-of-Service-Attacken oder die Ausführung von Schadcode ermöglicht. Sie müssen sich dazu in der Regel allerdings im lokalen Netzwerk aufhalten. Bei einigen Router-Konfigurationen sollen aber auch Angriffe aus der Ferne möglich sein.

Laut SEC Consult ist der Grund für den Fehler eine “unzureichende Eingabeprüfung”. Mit einem überlangen Computernamen lasse sich ein Überlauf des Kernel-Stack-Puffers provozieren. Die dadurch hervorgerufenen Speicherfehler könnten dann für Remotecodeausführung mit Nutzerrechten ausgenutzt werden.

Die fehlerhafte Komponente “NetUSB.inf” hat SEC Consult in Treibern von 26 Herstellern gefunden. Die Funktion war auf allen getesteten Geräten mit NetUSB-Code aktiviert. Der Server lief auch dann, wenn kein USB-Gerät angeschlossen war. Insgesamt hat das auf Penetrationstests spezialisierte Unternehmen die aktuelle Firmware von 92 Produkten untersucht. Die Lücke wurde außer bei TP-Link und Zyxel auch auf zahlreichen Modellen von D-Link, Netgear, Trendnet und gefunden.

Deren Firmware-Updates stehen noch aus – sollten aber nun, da sich KCodes so hilfsbereit zeigt, nicht mehr lange auf sich warten lassen. Allerdings hat Netgear auf Nachfrage bereits erklärt, dass mit einem Update, das die Lücke schließt, erst im dritten Quartal zu rechnen ist. Der Hersteller empfiehlt, vorhandene WiFi-Sicherheitsfunktionen zu nutzen und – falls nicht bereits geschehen – das Standardpasswort zu ändern. Die deutschen Hersteller AVM und Lancom verwenden die fehlerhafte Software des taiwanischen Entwicklers KCodes nicht.