Viele Unitymedia-Kunden gehen über eine Connect Box online. Darin hat ein Sicherheitsforscher nun eine folgenschwere Sicherheitslücke entdeckt.
Durch eine folgenschwere Sicherheitslücke waren mehrere Millionen Router in Deutschland anfällig für Hacker-Angriffe. Betroffen ist die Connect Box von Unitymedia, von der nach Angaben des Providers insgesamt 2,2 Millionen Stück im Umlauf sind. Der Provider spielt derzeit ein Firmware-Update aus, das die Lücke schließt. Es hatte am Mittwochnachmittag noch nicht alle Geräte erreicht.
Die Schwachstelle klafft im Web-Interface des Routers, wie ihr Entdecker, ein Sicherheitsexperte mit dem Pseudonym xitan, in seinem Blog erklärt. Über das Web-Interface kann man einen Ping und ein Traceroute durchführen, um zu überprüfen, ob die Internetverbindung intakt ist. Dazu führt der Router die gleichnamigen Shell-Befehle auf seinem Linux-System aus. Laut xitan werden dabei die Nutzereingaben jedoch nicht ausreichend gefiltert und so ist es möglich, weitere Befehle über die Funktion einzuschleusen.
Shell-Befehle mit Systemrechten
Bei der Ping-Funktion etwa nimmt der Router zu pingende IP-Adresse als Nutzereingabe an und hängt diese an das ping-Kommando an, ehe es ausgeführt wird. Indem ein Angreifer an die IP ein Semikolon hängt, kann er beliebige weitere Befehle folgen lassen, die der Router anschließend mit Systemrechten ausführt. Es gibt laut xitan zwar einen Filter, der derartige Eingabe eigentlich verhindern soll. Diese Filterfunktion wird jedoch im Browser des Nutzers ausgeführt und nicht vom Router – spricht ein Angreifer direkt mit der entsprechenden Schnittstelle des Routers, kann er diesen Filter offenbar leicht umgehen.
Die Connect Box von Unitymedia steht in vielen Haushalten.
(Bild: Unitymedia)
Zu einem fatalem Sicherheitsproblem wird dieser Fehler jedoch erst, weil laut xitan zwar das Web-Interface durch eine Passwortabfrage geschützt ist, nicht jedoch die Schnittstelle, über die man die Ping- und Traceroute-Funktionen ausführen kann. Befindet sich ein Angreifer im gleichen lokalen Netz, kann er deshalb auch ohne Kenntnis des Admin-Passworts beliebige Systembefehle ausführen und das Embedded Linux des Routers manipulieren. Auf diese Weise könnte ein Angreifer potenziell den Internetverkehr ausspähen oder den Router zum Teil eines Botnets machen. Beides ist in der Vergangenheit bereits in anderen Fällen verwundbarer Router geschehen.
Offenbar auch über das Internet ausnutzbar
Darüber hinaus berichtet der Sicherheitsforscher, dass er mehrere tausend der betroffenen Router-Modelle über die Gerätesuchmaschine Shodan aufspüren konnte. Anscheinend sind die Geräte auch über das Internet attackierbar, wenn die Fernwartungsfunktion aktiv ist.
Gegenüber heise Security bestätigte Unitymedia am Mittwochnachmittag die Sicherheitslücke. Demnach wird sie durch das Firmware-Update mit der sperrigen Bezeichnung CH7465LG-NCIP-6.12.18.25-2p6-NOSH geschlossen. "Die Firmware wurde bereits auf 95 Prozent aller Connect Boxen (2,2 Millionen bei Unitymedia) installiert", erklärte der Unitymedia-Sprecher. Die übrigen Router sollen das wichtige Update "in Kürze" erhalten. Die Installation des Firmware-Update erfolgt automatisch.
Wer überprüfen möchte, ob die eigene Connect Box noch anfällig ist, findet bei GitHub xitans Proof-of-Concept-Skript namens poc-rce.py. Beim Ausprobieren ist jedoch Vorsicht geboten, da das Skript beliebige Shell-Befehle mit Systemrechten auf verwundbaren Routern ausführt. Auf diese Weise kann man das Router-Betriebssystem dauerhaft zerstören. Darüber hinaus hat xitan auch noch das Python-Skript information-dump.py herausgegeben, das Informationen über den Router ausgibt.
Quelle; heise
Durch eine folgenschwere Sicherheitslücke waren mehrere Millionen Router in Deutschland anfällig für Hacker-Angriffe. Betroffen ist die Connect Box von Unitymedia, von der nach Angaben des Providers insgesamt 2,2 Millionen Stück im Umlauf sind. Der Provider spielt derzeit ein Firmware-Update aus, das die Lücke schließt. Es hatte am Mittwochnachmittag noch nicht alle Geräte erreicht.
Du musst Regestriert sein, um das angehängte Bild zusehen.
Die Schwachstelle klafft im Web-Interface des Routers, wie ihr Entdecker, ein Sicherheitsexperte mit dem Pseudonym xitan, in seinem Blog erklärt. Über das Web-Interface kann man einen Ping und ein Traceroute durchführen, um zu überprüfen, ob die Internetverbindung intakt ist. Dazu führt der Router die gleichnamigen Shell-Befehle auf seinem Linux-System aus. Laut xitan werden dabei die Nutzereingaben jedoch nicht ausreichend gefiltert und so ist es möglich, weitere Befehle über die Funktion einzuschleusen.
Shell-Befehle mit Systemrechten
Bei der Ping-Funktion etwa nimmt der Router zu pingende IP-Adresse als Nutzereingabe an und hängt diese an das ping-Kommando an, ehe es ausgeführt wird. Indem ein Angreifer an die IP ein Semikolon hängt, kann er beliebige weitere Befehle folgen lassen, die der Router anschließend mit Systemrechten ausführt. Es gibt laut xitan zwar einen Filter, der derartige Eingabe eigentlich verhindern soll. Diese Filterfunktion wird jedoch im Browser des Nutzers ausgeführt und nicht vom Router – spricht ein Angreifer direkt mit der entsprechenden Schnittstelle des Routers, kann er diesen Filter offenbar leicht umgehen.
Du musst angemeldet sein, um Bilder zu sehen.
Die Connect Box von Unitymedia steht in vielen Haushalten.
(Bild: Unitymedia)
Zu einem fatalem Sicherheitsproblem wird dieser Fehler jedoch erst, weil laut xitan zwar das Web-Interface durch eine Passwortabfrage geschützt ist, nicht jedoch die Schnittstelle, über die man die Ping- und Traceroute-Funktionen ausführen kann. Befindet sich ein Angreifer im gleichen lokalen Netz, kann er deshalb auch ohne Kenntnis des Admin-Passworts beliebige Systembefehle ausführen und das Embedded Linux des Routers manipulieren. Auf diese Weise könnte ein Angreifer potenziell den Internetverkehr ausspähen oder den Router zum Teil eines Botnets machen. Beides ist in der Vergangenheit bereits in anderen Fällen verwundbarer Router geschehen.
Offenbar auch über das Internet ausnutzbar
Darüber hinaus berichtet der Sicherheitsforscher, dass er mehrere tausend der betroffenen Router-Modelle über die Gerätesuchmaschine Shodan aufspüren konnte. Anscheinend sind die Geräte auch über das Internet attackierbar, wenn die Fernwartungsfunktion aktiv ist.
Gegenüber heise Security bestätigte Unitymedia am Mittwochnachmittag die Sicherheitslücke. Demnach wird sie durch das Firmware-Update mit der sperrigen Bezeichnung CH7465LG-NCIP-6.12.18.25-2p6-NOSH geschlossen. "Die Firmware wurde bereits auf 95 Prozent aller Connect Boxen (2,2 Millionen bei Unitymedia) installiert", erklärte der Unitymedia-Sprecher. Die übrigen Router sollen das wichtige Update "in Kürze" erhalten. Die Installation des Firmware-Update erfolgt automatisch.
Wer überprüfen möchte, ob die eigene Connect Box noch anfällig ist, findet bei GitHub xitans Proof-of-Concept-Skript namens poc-rce.py. Beim Ausprobieren ist jedoch Vorsicht geboten, da das Skript beliebige Shell-Befehle mit Systemrechten auf verwundbaren Routern ausführt. Auf diese Weise kann man das Router-Betriebssystem dauerhaft zerstören. Darüber hinaus hat xitan auch noch das Python-Skript information-dump.py herausgegeben, das Informationen über den Router ausgibt.
Quelle; heise
