News Angriffe auf Fritz!Box-Router ohne Fernzugriff möglich

[Green Mamba]

Hier gibt es eine (hoffentlich) vollständige Liste der betroffenen Router-Modelle:
http://www.avm.de/de/Sicherheit/liste_update.html

Leider gibt es zwei betroffene Modelle für die das Update noch nicht verfügbar ist.

Spoiler

FRITZ!Box-Modell	Status Sicherheitsupdate	Anmerkung
7570	Verfügbar, FRITZ!OS 04.92	Das Update für o2-Kunden erfolgt automatisch über den Internet-Anbieter und trägt dort die Versionsnummer 04.92. Das Update für Alice-Kunden erfolgt automatisch über den Internet-Anbieter und trägt dort die Versionsnummer 04.81.
7490	Verfügbar, FRITZ!OS 06.03
7390	Verfügbar, FRITZ!OS 06.03	Das Update für o2-Kunden erfolgt automatisch über den Internet-Anbieter und trägt dort die Versionsnummer 05.02. Das Update für EWEtel-Kunden erfolgt automatisch über den Internet-Anbieter und trägt dort die Versionsnummer 05.52
7362 SL	Verfügbar, FRITZ!OS 06.03
7360 SL	Verfügbar, FRITZ!OS 06.03
7360	Verfügbar, FRITZ!OS 06.03	Das Update erfolgt über die Internet-Anbieter. Das Update für EWEtel-Kunden erfolgt automatisch über den Internet-Anbieter und trägt dort die Versionsnummer 05.51
7360 v2	Verfügbar, FRITZ!OS 06.03	Das Update für 7360 erfolgt für Kunden von Netcologne, Telepark Passau und MDCC automatisch über die Internet-Anbieter.
7330 SL	Verfügbar, FRITZ!OS 06.03
7330	Verfügbar, FRITZ!OS 06.03
7320	Verfügbar, FRITZ!OS 06.03
7312	Verfügbar, FRITZ!OS 06.03
7272	Verfügbar, FRITZ!OS 06.03
7270v2/v3	Verfügbar, FRITZ!OS 05.54	o2- und EWEtel-Kunden erhalten das Update automatisch über den Internet-Anbieter.
7270 v1	Verfügbar, FRITZ!OS 04.89
7240	Verfügbar, FRITZ!OS 05.54
7170 SL	Verfügbar, FRITZ!OS 04.81
7170	Verfügbar, FRITZ!OS 04.88
7150	Verfügbar, FRITZ!OS 04.72
7141	Verfügbar, FRITZ!OS 04.77
7140	sicher, kein Update nötig
7113	sicher, kein Update nötig
7112	Verfügbar, FRITZ!OS 04.88
7050	sicher, kein Update nötig
6842 LTE	Verfügbar, FRITZ!OS 06.03
6840 LTE	Verfügbar, FRITZ!OS 06.03
6810 LTE	Verfügbar, FRITZ!OS 06.03
6360 Cable	Verfügbar, FRITZ!OS 06.03 bzw. 06.04	Das Update erfolgt über die Internet-Anbieter.
6340 Cable	Verfügbar, FRITZ!OS 06.03	Das Update erfolgt über die Internet-Anbieter.
6320 Cable	Verfügbar, FRITZ!OS 06.03	Das Update erfolgt über die Internet-Anbieter.
5188	in Vorbereitung
5140	sicher, kein Update nötig
Alice IAD 5130	sicher, kein Update nötig
5050	sicher, kein Update nötig
5012	sicher, kein Update nötig
5010	sicher, kein Update nötig
3390	Verfügbar, FRITZ!OS 6.03
3370	Verfügbar, FRITZ!OS 6.03
Alice 3331	in Vorbereitung	Update erfolgt bei Verfügbarkeit automatisch über den Internet-Anbieter.
3272	Verfügbar, FRITZ!OS 6.03
3270	Verfügbar, FRITZ!OS 5.54
3170	sicher, kein Update nötig
3131	sicher, kein Update nötig
3130	sicher, kein Update nötig
3070	sicher, kein Update nötig
3050	sicher, kein Update nötig
3030	sicher, kein Update nötig
2170	sicher, kein Update nötig
2110	sicher, kein Update nötig
2070	sicher, kein Update nötig
2030	sicher, kein Update nötig
FRITZ!Box Fon	sicher, kein Update nötig
FRITZ!Box Fon ata	sicher, kein Update nötig
FRITZ!Box Fon WLAN	sicher, kein Update nötig
FRITZ!Box SL WLAN/3020	sicher, kein Update nötig
FRITZ!Box SL	sicher, kein Update nötig
FRITZ!Box	sicher, kein Update nötig

 

[longwalk]

Ach cool, vielen Dank.

 

[Morphy2k]

ganz so leicht ist es nicht. du beschreibst ja selber, dass man dazu root rechte braucht oder kenntnis um das passwort. also einfach "IP eingeben und dann den befehl" ist es hier also nicht.

Nochmal, du brauchst kein Passwort. Mit dem ausnutzen der Sicherheitslücke kommst du einfach so rein. Ebenso wenig brauchst du dafür Javascript.

 

[longwalk]

Hier gibt es eine (hoffentlich) vollständige Liste der betroffenen Router-Modelle:
http://www.avm.de/de/Sicherheit/liste_update.html

An die Moderation: Das würde ich vielleicht per Update im Artikel verlinken (falls nicht schon eine neue News zu dem Thema unterwegs ist).

 

[JuggernautX]

Meine 7170 habe ich Gottseidank schon auf 04.88 gepatcht und habe auch gem. http://www.avm.de/de/Sicherheit/hinweis.html abgecheckt. Zusätzlich ein 300bit PW vergeben. Jetzt muss ich zwar immer erst meine KeePass-Datenbank öffnen, was mir stinkt aber sicher ist sicher.(Hoffe ich zumind., dass es sicher ist!)

 

[Naddel_81]

Nochmal, du brauchst kein Passwort. Mit dem ausnutzen der Sicherheitslücke kommst du einfach so rein. Ebenso wenig brauchst du dafür Javascript.

ok, aber auch nur, wenn ich das pech habe auf eine solche seite geschoben zu werden mit dem smartphone.

 

[DeusoftheWired]

Speedportnutzer aufgepaßt!

https://forum.telekom.de/foren/read...-920v-auch-betroffen,544,11213581,page=2.html

Hallo in die Runde,

inzwischen wurden präventiv Softwareupdates bereitgestellt. Die Softwareupdates enthalten Sicherheitsverbesserungen zur Beseitigung eines möglichen Angriffsszenarios.

Die Deutsche Telekom empfiehlt allen Nutzern der betroffenen Speedport Modelle das Softwareupdate umgehend einzuspielen. Eine Beschreibung zur Durchführung findet sich unter nachfolgendem Link:

http://hilfe.telekom.de/dlp/eki/dow...rmware_Update_Speedport_allgemein_05.2011.pdf

Das Softwareupdate wird automatisch für alle Kunden eingespielt, die am EasySupport teilnehmen. Alternativ können Sie das Update auch über die Downloadseiten des jeweiligen Speedports unter...

http://hilfe.telekom.de/hsp/cms/content/HSP/de/3388/0/Downloads-und-Handbuecher

...herunterladen und gemäß der oben genannten Beschreibung installieren.

Updates für folgende Modelle sind bereits vorhanden:

W920V auf 65.04.79
W503V auf 66.04.79
W721V auf 64.04.75

Das Update für den W722V wird kurzfristig erwartet.

Gruß Matthias

 

[DerInventor]

@DerInventor
- und das funktioniert trotz aktuellem Update (6.03/6.04)?
- der einzige Schütz wäre das deaktivieren der Web Oberfläche?

Ich gehe stark davon aus das der Angriff mit der neusten Version nicht funktionieren wird.
Würde aber einen Hardware Button zum freischalten des Web Interfaces begrüßen

 

[marco_f]

@ Admin
Könnt ihr aus der Liste nicht mal nen Artikel machen? Wäre schon wichtig für die Betroffenen. Habe letzte Woche die News gelesen, da waren es nur eine Hand voll Modelle und bin davon ausgegangen das mein altes billiges 7112 kein Update kriegt. Jetzt bin ich bei Golem drüber gestolpert und habe gerade erst deine Liste auf Seite 6 der Kommentare gefunden.

 

[Amiga500]

wie schauts aus wenn jemand nehmen wir mal an den trojaner schon in der fritze eingeschleust bekommen hätte, ist dieser nach dem FW update gelöscht ? und wie können fritze user wissen ob ihre box mit nem trojaner präperiert worden sind?

 

[X_Clamp]

Welches Fritzbox Modell ist denn einigermaßen aktuell (Gigabit LAN, von mir aus auch 100MBit, WLAN AC) und hat nen DECT Modul integriert? Sollte jetzt nicht Unsummen kosten. Aber so wie ich AVM kenne, hat das alles nur der 7490 momentan, der ja weit über 200€ kostet

 

[Naddel_81]

Welches Fritzbox Modell ist denn einigermaßen aktuell (Gigabit LAN, von mir aus auch 100MBit, WLAN AC) und hat nen DECT Modul integriert? Sollte jetzt nicht Unsummen kosten. Aber so wie ich AVM kenne, hat das alles nur der 7490 momentan, der ja weit über 200€ kostet

Ganz genau. Und deshalb drebt dich meine Welt die die letzten 5 Jahre mit aktiver Lücke weiter.

 

[Helmpflicht]

Welches Fritzbox Modell ist denn einigermaßen aktuell (Gigabit LAN, von mir aus auch 100MBit, WLAN AC) und hat nen DECT Modul integriert? Sollte jetzt nicht Unsummen kosten. Aber so wie ich AVM kenne, hat das alles nur der 7490 momentan, der ja weit über 200€ kostet

WLAN AC ist noch nicht mal offiziell verabschiedet. Zeig mir einen Hersteller, der noch DECT Module in Router verbaut.
Wer Premiumfeatures will, der muss/darf auch einen Premiumpreis bezahlen.

 

[dMopp]

Hmmm 4€ im Monat bei der TCOM und du bekommst nen Router mit WLAN AC und DECT (Jedoch kein ISDN mehr, da VoIP im Trend ist). Das schöne: Wenn wieder ne neue Technik kommt, nehme ich nen neuen Router.. Und Pro jahr oder alle 6 Monate (?!) verringert sich der Preis um 1€ / Monat.

 

[oemmes]

Bei Unitymedia ist jedenfalls noch nix passiert - meine FB hat immer noch Stand 06.00. Wollen die das aussitzen??

 

[Naddel_81]

Bei Unitymedia ist jedenfalls noch nix passiert - meine FB hat immer noch Stand 06.00. Wollen die das aussitzen??

Solange sie auch für den eventuellen schaden aufkommen.

 

[X_Clamp]

Hmmm 4€ im Monat bei der TCOM und du bekommst nen Router mit WLAN AC und DECT (Jedoch kein ISDN mehr, da VoIP im Trend ist). Das schöne: Wenn wieder ne neue Technik kommt, nehme ich nen neuen Router.. Und Pro jahr oder alle 6 Monate (?!) verringert sich der Preis um 1€ / Monat.

Geht das auch als Nicht-TCOM Kunde? Gib mal bitte nen Link.

 

[Wilhelm14]

Geht das auch als Nicht-TCOM Kunde? Gib mal bitte nen Link.

http://geizhals.de/a958486.html
Den 724v habe ich neulich für einen Freund besorgt und eingerichtet. Ich finde ihn gut. Für mich haben Fritzboxen nur VPN als Vorteil. Wer keinen VPN-Server im Router braucht oder den VPN-Server woanders im LAN stellt, braucht das Feature nicht.

Speedportnutzer aufgepaßt!

Da wird noch geprüft, ob der Speedport 900v, der der Fritzbox 7170 entstpricht, auch von der Lücke betroffen ist. Ich habe einen 900v mit speed2fritz auf AVM 4.88 gebracht. Jetzt baut speed2fritz ja aus der Speedport Firmware und der AVM Firmware die neue Speed2Fritz. Da stellt sich natürlich die Frage, ist die Lücke durch 4.88 geschlossen oder kann die Lücke aus der Speedport Firmware noch mit eingebastelt sein?

 

[dMopp]

Ich glaube MIETEN geht nur mit nem Call and Surf bzw Entertain Paket.

Kostet bei der T-Com allerdings aktuell 129,99 € wenn man ihn kaufen möchte. (Ich kaufe mir meine Router mehr, ist mir zu schnelllebig die Zeit. Sobald T-Com Vectoring einschaltet brauchste ja stellenweise wieder nen neues Gerät ^^)

 

[Yuuji]

Jetzt sind auch die WLAN-Repeatern an die Reihe: Heise.de.