Gelöst: Sicherheitslücke in CH7466CE mit FW 4.50.19.12 – Seite 3

usefulvid · ‎21.04.2018

CH7466CE Wireless Voice Gateway Firmware-Version 4.50.19.12

Ich habe nun mehrfach den Kundendienst und die Technik versucht auf eine Lücke im CH7466CE aufmerksam zu machen, leider ohne Erfolg, deshalb hier noch ein Versuch:

Ich hatte mal Port 1194 UDP weiter geleitet. Diese Weiterleitung ist nun nicht mehr in der Liste (auch nicht bei upnp) der Freischaltungen.

Ich bekomme den Port nicht zu. Die IPv4 Firewall ist aktiv.

Das Heimnetz sollte vernünftig mittels Router Firewall vom Internet getrennt sein. Mir ist schleierhaft warum das vom Support niemand wahr haben will. Stattdesen habe ich die Auskunft bekommen eine öffentliche IPv4 sei immer mit Risiken verbunden und ich solle mich an Compal in Taiwan wenden.

usefulvid · ‎26.04.2018

Friedensangebot:

Ich nehme das Video offline und ein Techniker schaut sich das an 🙂

Angebot steht.

thomasschaefer · ‎26.04.2018

Darauf würde ich mich als Vodafone nicht einlassen. Jedes Gerät kann sich mal verschlucken. Eine seriöse Reproduktion des Fehlers lehnst Du ab. Damit sägst Du an Deiner eigenen Glaubwürdigkeit.
Es ehrt dich, dass Du versuchst sicherheitsrelevante Fehlfunktionen aufzudecken und publik zu machen, nur Deine Arbeitsmethode und die Erwartungshaltung passen eben nicht ganz dazu.
Zumal Du Dein Video gleich mit einem Kauflink bei Amazon versehen hast, dazu kommt noch die YouTube Werbung.
Willst wirklich eine Verbesserung des Routers, oder willst Du nur Klicks?

Hast Du schon jemanden Unabhängigen um eine Nachstellung gebeten?(CCC, Computer Zeitschriften Redaktionen)

usefulvid · ‎26.04.2018

Ok dann sag mir doch mal wie ich den Fehler nachstellen kann dann mach ich das sofort:

Ich mache ienen Werksreset -> alle ports sind geschlossen -> ich teste die Verbindung auf 1194/udp; die schlägt vermutlich fehl -> dann richte ich die Portweiterleitung wieder ein -> verbindung kommt zu stande

So und ab dem Punkt erklärst du mir wie ich das reproduzieren kann. Ich weiß es nicht.

Zu Youtube: Ich will eigentlich nur klicks, ist ja klar deshalb stelle ich auch vodafone erstmal direkt das video nicht öffentlich zur Verfügung und biete an es nicht zu veröffentlichen.

Ich habe Heise kontaktiert da hab ich leider nur gut gemeinte Tipps bekommen wie man einen Router konfiguriert.

Medicus-99 · ‎26.04.2018

Hallo zusammen,

ich muss hier usefulvid recht geben. Das ist anscheinend ein Bug was zu einer Sicherheitslücke führen kann. Es kann natürlich sein, dass das Problem einmalig ist, aber auch, dass es häufiger passiert, dass es öffters passiert.

usefulvid kann und sollte auch nicht das Problem klären, da hier mehrere Benutzer von Vodafone betroffen sein kann. Wenn Vodafone, wie damals die Telekom (siehe: https://www.heise.de/security/meldung/Grossstoerung-bei-der-Telekom-Was-wirklich-geschah-3520212.htm...) in den Medien ist das Geschrei groß.

Vodafone hat ein Security-Team die sich mit solchen Themen auseinandersetzen. Die Mitarbeiter hier sollten das Thema einfach an diese weiterleiten, anstatt tips zu geben. Die haben Interesse an solchen Themen und werden die Box auch auseinander nehmen.

Ein "Verschlucken" sollte es hier auch nicht geben. Wenn es so etwas gibt, handelt es sich hierbei um ein Bug.

@usefulvid

Ich würde an deiner Stelle das Video nicht mehr rausnehmen.

Ich würde an deiner Stelle auch mal extern prüfen, welche Ports noch offen sind, die auf der Oberfläche nicht angzeigt werden. Hierzu kannst du Nmap (https://nmap.org) nutzen. Wenn weitere Ports offen sind, kannst du davon ausgehen, dass das wahrscheinlich löschrig wie ein schweizer Käse ist.

Wenn Du weiter gehen möchtest, kannst du mal den router von extern einem automatischen Schwachstelleanalyse unterziehen. Hierfür kannst du die kostenlose version von Nessus (siehe unter https://de.tenable.com) nutzen. Dort bekommst du einen ersten überblick über die schwachstellen, schön kategorisiert von Kritisch bis auf niedrig. 🙂

usefulvid · ‎26.04.2018

Danke für den Zuspruch.

Mit dem Verschlucken sehe ich ähnlich, geht ja auch nach Neustart nicht weg.

Ich schau mir deine Tools mal an und wenn ich Zeit habe analysiere ich evtl weiter.

thomasschaefer · ‎26.04.2018

@usefulvid@ schrieb:
Ok dann sag mir doch mal wie ich den Fehler nachstellen kann dann mach ich das sofort:
Ich mache ienen Werksreset -> alle ports sind geschlossen -> ich teste die Verbindung auf 1194/udp; die schlägt vermutlich fehl -> dann richte ich die Portweiterleitung wieder ein -> verbindung kommt zu stande

So und ab dem Punkt erklärst du mir wie ich das reproduzieren kann. Ich weiß es nicht.

Und dann löscht Du sie wieder. Und nun testest Du, ob sie noch funktioniert oder ob sie wirklich zu ist.

GGf. wiederholst Du das ganze. Natürlich sind sporadisch auftretende Fehler Mist. Kenn ich selber genug. Aber man es ja trotzdem irgendwie versuchen, sie logisch einzugrenzen. Dass man bei solchen Geräten keinen vollständigen Zugriff auf Logfiles/Systemfehlermeldungen hat, ist bedauerlich, aber leider branchenüblich.

thomasschaefer · ‎26.04.2018

Die Idee mit einem Portscan von außerhalb ist gut, hat aber einen kleinen Schönheitsfehler.

Der Router selbst hat in der Regel wenig oder keine Dienste aktiv. Da es nur um ipv4-udp/tcp-Weiterleitungen geht, müsste man dahinter einen Server hinstellen, bei dem *alles" offen ist und den Router irgendwie unterschwellig davon überzeugen, versehentlich dorthin alles weiterzuleiten.

usefulvid · ‎26.04.2018

Wieso lösch ich sie wieder? Ich hab die nie gelöscht. Die war einfach nicht mehr zu sehen in der Liste.

Medicus-99 · ‎26.04.2018

@thomasschaefer@ schrieb:
Die Idee mit einem Portscan von außerhalb ist gut, hat aber einen kleinen Schönheitsfehler.
Der Router selbst hat in der Regel wenig oder keine Dienste aktiv. Da es nur um ipv4-udp/tcp-Weiterleitungen geht, müsste man dahinter einen Server hinstellen, bei dem *alles" offen ist und den Router irgendwie unterschwellig davon überzeugen, versehentlich dorthin alles weiterzuleiten.

Nein, kein schönheitsfehler. Durch den Portscan sieht man ja gerade welche Ports aus dem Internet erreichbar sind. Ist z. B. der Port 1194 von extern erreichbar so sieht man es. Dafür braucht man keinen server.

Den Server würde man brauchen, wenn man tiefgehende Tests durchführen würde. Das wollen wir ja an dieser stelle nicht.

thomasschaefer · ‎26.04.2018

Warten und schauen, wann sie verschwindet wäre auch eine Mögllichkeit.

Vielleicht hast Du ja Glück und es findet sich jemand, der das Problem auch hat.

Mit dem Modemhersteller hast Du vermutlich schon Kontakt aufgenommen.

Du kannst natürlich auch versuchen einen (medien)wirksamen Exploit zu schreiben. Selbst wenn der Fehler häufiger auftritt, so heißt das ja nur, das die erste Verteidigungslinie hin ist. Der/die Rechner dahinter sind normalerweise ja auch mit einem gewissen Selbstschutz versehen.

Ich klinke mich aus der Diskussion aus.