Thema "Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch" in Geräte

Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

Harrypotter06 — Mon, 04 Sep 2023 23:42:24 GMT

Guten Tag,

für die FritzBox 6690 Cable gibt es von AVM ein Sicherheitspatch (Version 7.57).
Bei Vodafone ist immer noch die Version 7.29 im Einsatz.

Es handelt sich um eine kritische Sicherheitslücke die von Hackern bereits aktiv ausgenutzt wird und mit denen die Hacker die volle Kontrolle der Fritzbox übernehmen können. Tja, was tut Vodafone? Nichts!

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

AdlerAuge — Tue, 05 Sep 2023 00:25:39 GMT

Doch sie passen zuerst die Firmware ihren Geräten an und das kann leider etwas dauern, daher weiß auch keiner wann und wie lange noch.

Habe noch etwas Geduld.

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

reneromann — Tue, 05 Sep 2023 01:53:42 GMT

Zumindest für die 6591 ist die 7.56 schon seit einigen Wochen in der generellen Ausrollung...

Davon abgesehen: Um was für eine "kritische Sicherheitslücke, die von Hackern bereits aktiv ausgenutzt wird", handelt es sich denn überhaupt?

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

Kurtler — Tue, 05 Sep 2023 04:57:45 GMT

@reneromann

Die vermutete Schwachstelle ermöglicht es offenbar, die Konfiguration des Geräts über die Exponierung von Internetports zu ändern. Der Hauptverdacht konzentriert sich auf die Freigabe des Ports 443 für den Remote-Zugriff auf den Router, was eine gemeinsame Eigenschaft bei den betroffenen Opfern zu sein scheint, wie von AVM angeblich selbst mitgeteilt wurde. Einige Quellen behaupten jedoch, dass auch Port-Weiterleitungen ausreichen könnten, während andere berichten, dass Geräte mit geschlossenem Port 443 betroffen seien und alternative Ports für diese Funktionen verwenden würden

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

Stefan-Sz — Tue, 05 Sep 2023 06:09:19 GMT

Update erfolgte bei mir in der Nacht auf heute.

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

ET0099 — Wed, 06 Sep 2023 11:48:28 GMT

Sorry, aber das immer immer die gleiche Ausrede. Eigentlich müsste man für einen derart miesen Service alle kündigen.
Letztendlich müssen wir Endkunden Monate bzw. tw. jahrelang mit gravierenden Sicherheitslücken leben, weil Vodafone nicht kann oder möchte.

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

ET0099 — Wed, 06 Sep 2023 11:51:43 GMT

letzte Nacht war eine Wartung im Vorfeld eine Woche vorher angekündigt (Raum Mettmann, Metzkausen), laut eventlog letzte Nacht auch kurz Internet getrennt und neu verbunden, aber Firmware (wie zu erwarten) weiterhin uralt Version 7.29.
Vodafone, ihr seid bei diesem Thema wie immer viel zu langsam. Spätestens wenn ihr auch die letzten Kabel-Kunden an Deutsche Glasfaser und Co verloren habt, wisst wir eventuell warum ....

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

reneromann — Wed, 06 Sep 2023 12:42:33 GMT

@Kurtler schrieb:

@reneromann

Die vermutete Schwachstelle ermöglicht es offenbar, die Konfiguration des Geräts über die Exponierung von Internetports zu ändern. Der Hauptverdacht konzentriert sich auf die Freigabe des Ports 443 für den Remote-Zugriff auf den Router, was eine gemeinsame Eigenschaft bei den betroffenen Opfern zu sein scheint, wie von AVM angeblich selbst mitgeteilt wurde. Einige Quellen behaupten jedoch, dass auch Port-Weiterleitungen ausreichen könnten, während andere berichten, dass Geräte mit geschlossenem Port 443 betroffen seien und alternative Ports für diese Funktionen verwenden würden

Da der Zugriff von außen auf die Konfigurationsoberfläche, sofern die entsprechende Option aktiviert wurde, ja wissentlich vom Nutzer freigegeben wurde, ist das erst einmal per se keine Sicherheitslücke. Wenn überhaupt wäre es eine Sicherheitslücke, wenn AVM dann bei der Authentifizierung der Zugriffe einen Bock geschossen hat, so dass die Box die Authentifizierung des Zugriffs nicht oder nicht korrekt prüft.

Wobei es in dem Fall die einfache Möglichkeit gibt, diesen externen Zugriff zu deaktivieren -- und die Frage ist dabei eh, was die Konfigurationsseite (oder auch andere Geräte aus dem lokalen Netz) direkt im Internet zu suchen haben; für den Zugriff auf das Heimnetz gehört da IMMER ein VPN davor, welches die Authentifizierung und vor allem auch die Verschlüsselung der Daten sicherstellt!

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

reneromann — Wed, 06 Sep 2023 12:45:18 GMT

@ET0099 schrieb:

Sorry, aber das immer immer die gleiche Ausrede. Eigentlich müsste man für einen derart miesen Service alle kündigen.

Dann mach's doch und kauf dir eine eigene Box. Es zwingt dich doch niemand, die von Vodafone gestellte Leihhardware zu benutzen - und zwar schon seit über 7 Jahren nicht mehr!

@ET0099 schrieb:

Letztendlich müssen wir Endkunden Monate bzw. tw. jahrelang mit gravierenden Sicherheitslücken leben, weil Vodafone nicht kann oder möchte.

Du musst mit gar nichts leben - kauf dir einen eigenen Router und du bist selbst Herr im Haus!

Davon abgesehen: Wer sagt denn, dass das "Monate bzw. tw. jahrelang" dauert? Insbesondere bei kritischen Sicherheitslücken war VF schon immer deutlich schneller bei der Verteilung der Updates -- nur wird man diese nicht an Tag 1 -an dem selbst die AVM-Server unter der Last der DSL-Boxen zusammenbrechen- ebenfalls mit verteilen.

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

reneromann — Wed, 06 Sep 2023 12:49:17 GMT

@ET0099 schrieb:

letzte Nacht war eine Wartung im Vorfeld eine Woche vorher angekündigt (Raum Mettmann, Metzkausen), laut eventlog letzte Nacht auch kurz Internet getrennt und neu verbunden, aber Firmware (wie zu erwarten) weiterhin uralt Version 7.29.

Die Wartung hat nichts mit dem Ausrollen der Firmware zu tun! Firmwareausrollung passiert ohne Wartung vom Kabelnetz und findet ohne vorherige Ankündigung und Benachrichtigung des Nutzers statt.

Was du hingegen eher mal machen solltest: Neustarten der Box - weil die Boxen selbst bei einer Trennung der Internetverbindung z.T. nicht automatisch nach einem Update suchen.

@ET0099 schrieb:

Vodafone, ihr seid bei diesem Thema wie immer viel zu langsam.

Es zwingt dich doch niemand, die Leihgeräte einzusetzen. Kauf dir 'ne eigene Kabel-FritzBox und du bestimmst selbst, wann du welches Update wie einspielst.

@ET0099 schrieb:

Spätestens wenn ihr auch die letzten Kabel-Kunden an Deutsche Glasfaser und Co verloren habt, wisst wir eventuell warum ....

Klar, lieber gehen die Kunden zur Deutschen Glasfaser, die z.T. völlig überbuchte AFTR-Gateways hat und oben drein KEINE Umstellung auf DualStack vorsieht - nicht mal für Business-Tarife. Und das zu zum Teil homöophatischen Preisen zum Abgewöhnen...

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

ET0099 — Wed, 06 Sep 2023 13:21:45 GMT

kriegst von Vodafone Bonus weil immer so artig und brav gegenüber VF ? junge junge, das theater mit eigene Box gegenüber gemieteten können wir ja gerne Bimmel bingo mässig hier auch ausdiskutieren.

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

Sommer_Sonne — Wed, 06 Sep 2023 14:38:25 GMT

7.29 ist fast zwei Jahre alt - das ist doch ein Witz - Vodafone/Kabel Deutschland, wie lange wollt ich noch in der Steinzeit bleiben??!!!

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

reneromann — Wed, 06 Sep 2023 14:55:30 GMT

@ET0099 schrieb:

kriegst von Vodafone Bonus weil immer so artig und brav gegenüber VF ?

Schlicht und ergreifend: Nein.

@ET0099 schrieb:

junge junge, das theater mit eigene Box gegenüber gemieteten können wir ja gerne Bimmel bingo mässig hier auch ausdiskutieren.

Gerne... Nur sehe ich da ehrlich gesagt kein Argument, welches stichhaltig für deine Seite spricht.

Fakt ist: Wenn du ein Miet-/Leihgerät nutzt, entscheidet alleine der Verleiher/Vermieter, was mit dem Gerät passiert - du darfst es dann lediglich "netterweise" nutzen und im Rahmen der vom Vermieter/Verlieher vorgesehenen Möglichkeiten deiner Nutzung anpassen -- wenn der Vermieter/Verleiher dabei Menüpunkte ausblendet/deaktiviert und sich selbst alleinig das Recht vorbehält, die Updates einzuspielen, dann ist das das gute Recht des Vermieters/Verleihers!

Das dir das offenbar nicht passt und du lieber die volle Gewalt über die Box haben willst, ist verständlich - allerdings halt nicht Teil des Miet-/Leihvertrages. Auch ich würde gerne in meiner Mietwohnung einige größere Umbauten vornehmen - nur lässt mich mein Vermieter nicht. Da hilft dann auch kein Rumzicken, sondern entweder ich akzeptiere es, dass es so ist, wie es ist -oder- ich KAUFE mir eine Wohnung (bei der ich dann mehr Rechte habe). Gleiches auch hier bei der Box - willst du volle Gewalt, kommst du nicht um eine eigene gekaufte Box drum herum.

Mal ganz davon abgesehen, dass dieser Bug nur dann zum Tragen kommt, wenn man den Fernzugriff aktiviert (den man eh sinnigerweise NIE aktivieren sollte - weil es dafür keinen stichhaltigen Grund gibt; wenn überhaupt macht man das über ein VPN!) -- ergo man das Problem auch ganz einfach durch Deaktivieren der Fernzugriffs-Funktion umgehen kann.

Und das die 7.56 bereits in der allgemeinen Ausrollung ist, dürfte auch bekannt sein.

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

Stefan-Sz — Wed, 06 Sep 2023 15:15:38 GMT

Kabel Deutschland scheint das Problem zu sein.

Im Unitymedia NRW wurde sowohl die 6690 (7.50) als auch die 6490 (7.29) auf 7.57 upgedatet.

Eigentlich bin ich haferm für diesen Fauxpas er dankbar so sind beide jetzt aktuell ohne die typische Vodafone Verzögerung.

Betreff: Sicherheitslücke (bereits aktiv genutzt) FritzBox 6690 Cable - AVM Sicherheitspatch

reneromann — Wed, 06 Sep 2023 17:42:55 GMT

@Stefan-Sz schrieb:

Kabel Deutschland scheint das Problem zu sein.

Wie kommst du darauf? Nur weil nicht sofort am nächsten Tag hier alle Kunden sofort "Hurra" schreien?

Mich würde es halt nicht wundern, wenn das Update in den nächsten Nächten automatisch anstatt der 7.56 ausgerollt wird und alle Kunden, die derzeit schon die 7.56 haben (und dazu gehören auch Business-Kunden), dürften dann wahrscheinlich genau wie hier schon in einem anderen Thread zum gleichen Thema erwähnt wurde, wahrscheinlich ebenfalls die Tage das Update bekommen.

Nur willst du halt nicht mal schnell über eine Million Geräte auf den Update-Servern haben, da die sonst zusammenklappen -- und dann ist halt auch niemandem geholfen. Daher ja auch sonst das wellenweise Ausrollen, um Lastprobleme bei den Update-Servern als auch bei der Hotline (wenn es kracht) zu vermeiden.