AVM muss erneut auf alte Schwachstelle in seinen Fritz-Boxen hinweisen
Anlass dafür ist laut AVM, dass in letzter Zeit “in einzelnen Fällen” wieder Telefonmissbrauch mit seinen Routern betrieben wurde. Offenbar haben immer noch nicht alle Nutzer die Updates installiert, die infolge einer Anfang 2014 oder 2015 entdeckten Lücke angeboten werden.
AVM hat diese Woche erneut darauf hingewiesen, dass sich über eine alte Schwachstelle in seinen Fritz-Box-Routern Missbrauch mit der Telefonfunktion betreiben lässt. Grund für die wiederholte Warnung sind dem Hersteller zufolge “einzelne Fälle”, zu denen es in den vergangenen Tagen gekommen sei. Allerdings sei das bei der Fritz-Box “nach aktuellem Stand” lediglich mit “selten genutzten Konfigurationen” im Zusammenspiel mit älteren Varianten der Firmware Fritz-OS möglich.
Der Hersteller hatte erstmals Anfang Februar 2014 darauf hingeweisen, dass gegebenenfalls die Fernzugriffsfunktion missbräuchlich dazu genutzt werden kann, um sich unbefugt Zugang zum Router zu verschaffen und dann Anrufe bei kostenpflichtigen Mehrwertdiensten zu initiieren. Anhand von Firmware-Aktualisierungen begann AVM wenige Tage später damit, die Lücke zu schließen.
Darüber hinaus wurde noch im selben Jahr in der aktuellsten Firmwareversion unter dem Menüpunkt “Diagnose” eine neue Sicherheitsübersicht integriert. Anwender werden darin beispielsweise darüber informiert, ob die aktuelle Firmware-Version installiert ist, auf welchen Ports Verbindungen ins Internet sowie ins heimische Netzwerk geöffnet sind und wer sich am Router an- oder abgemeldet hat. Außerdem wurde mit Fritz OS 6.20 die Möglichkeit integriert, dass sich der Router selbst auf dem aktuellsten Firmwarestand hält.
Anfang 2016 hatte dann ein Aachener Sicherheitsunternehmen davor gewarnt, dass Fritz-Box-Router, auf welchen nicht mindestens Fritz OS 6.30 installiert ist, Remotecodeausführung über einen Pufferüberlauf ermöglichen. Die RedTeam Pentesting hatte diese Lücke schon Ende Februar 2015 entdeckt und dem Berliner Anbieter gemeldet. Auch hier könnten Angreifer an Rootrechte gelangen und dann den Datenverkehr abfangen oder auf Kosten des Nutzers telefonieren, falls der Router für Telefonie ausgelegt ist – beispielsweise indem sie bei teuren Sonderrufnummern anrufen.
Beobachter und Experten attestierten AVM, auf die – aufsehenerregenden aber letztlich doch nur begrenzten Schaden verursachenden – Lücken ausgesprochen rasch reagiert zu haben. Darüber hinaus hat die Update-Funktion bis heute Vorbildcharakter. Gegen das Verhalten von Nutzern, die alte Geräte einsetzen und auch nach zahlreichen Aufforderungen die Firmware nicht aktualisieren, ist das Unternehmen jedoch machtlos.
Es hatte schon im Herbst 2014 davor gewarnt, dass Kriminelle gezielt nach Anwendern suchen, die den Fernzugriff aktiviert und keine Updates installiert haben. Außerdem gibt das Berliner Unternehmen auf seiner Website einfach zu befolgende Sicherheitstipps und erklärt, wie sich die Firmware der Fritz-Box aktualisieren lässt.
[mit Material von Peter Marwan, silicon.de]