Router durch bash Sicherheitslücke verwundbar?

[Luk4s-320]

Moin,

ich habe gestern etwas über diese bash- oder shellshock Sicherheitslücke gelesen. Router sollen ja scheinbar auch verwundbar sein, was mich doch etwas beängstigt. Aber ist es denn möglich mit einem router ein bashscript auszuführen? Oder hat das irgendwas mit der NAS Funktion des Routers zu tun? Es haben nämlich immer nur Leute in Foren , die einen NAS router hatten, nach der Verwundbarkeit ihres routers gefragt. Ja gut, die fritzboxen, von denen ich selbst eine besitze, soll laut chip online zwar nicht dieses bash verwenden, aber ich hab noch einen medion repeater und weiß nicht wie das teil arbeitet

Ich hab sowieso noch nicht so viel Ahnung von dieser Sicherheitslücke, aber muss man sich den sorgen machen? Wenn ein router so eine lücke besitzt, was kann damit angestellt werden? Kann dadurch auf die Firmware des routers sogar Malware gebracht werden?


Vielen Dank im Voraus

 

[xatru]

Hi,

generell sind wohl alle Geräte die eine entsprechende bash verwenden auch angreifbar, also auch Router. Um ein Gerät aber tatsächlich angreifen zu können musst Du erst mal in die bash kommen. Wenn Du dich auf deinen Router verbindest, wirst Du wohl kaum eine offene Shell (bash, zsh, ...) vorfinden, egal ob Du dich von außen oder innen verbindest. Die wenigsten Routerhersteller bieten dem Benutzer die Möglichkeit eines Konsolenzugangs. Setzt ein Routerhersteller aber z.B. ein System auf Basis von BusyBox (z.B. die Vodafone SpeedBox) oder OpenWRT (z.B. geflashte Linksys-Router) ein, gibt es auch die Möglichkeit auf die Konsole zu gelangen. Um die genannte Schwachstelle wirklich ausnutzten zu können bleibt in meinen Augen nur ein verbundbares CGI-Script, welches von außen (also aus dem Internet) erreichbar sein muss. Wenn so etwas vorhanden ist und ein CGI-Script Zugang zu den Umgebungsvariablen der Konsole hat, würde ich das aber bereits als eigene Schwachstelle betrachten. Sollte dein Router wirklich angreifbar sein, ist die einzige möglichkeit - wie so oft - ein Update des Herstellers, zumindest dann, wenn Du nicht selbst sehr tief ins System eingreifen willst (und dazu solltest Du genau wissen was Du tust).

Mit der NAS-Funktion des Routers hat das übrigends nichts zu tun - zumindest nicht zwingend. Einzig der Zugang auf die Dateien welche auf dem NAS liegen wird oft über CGI-Skripte realisiert.

 

[Luk4s-320]

Hmmm...

Ein virus auf meinem rechner könnte aber doch auch diese Schwachstelle des Routers ausnutzen, wenn es halt keine Schwachstelle gibt, die man aus dem Internet erreicht. Also wirklich sicherer fühl ich mich grad nicht

Aber könnte denn durch diese lücke Malware in die Firmware des Routers eingespielt werden?


Wie ist es eigentlich mit den Webservern? Verwenden die meisten Seiten wie z.b Google oder facebook usw. so ein CGI script oder irgendwas anderes, das diese bash Schwachstelle besitzt?

Wie sind die Server eigentlich dagegen gesichert, wenn sie ein CGI script verwenden und noch kein patch für die Lücke besitzen?

Ich will nämlich keine Angst haben, dass wenn ich etwas herunterlade, dass diese Datei vielleicht manipuliert wurde, weil ja jemand einfach mal über diese CGI script Kontrolle über den Server bekommen hat und alles damit anstellen kann, was er will. Jaja, ich weiß, ich schieb hier schon wieder paranoia

 

[Daaron]

Um die genannte Schwachstelle wirklich ausnutzten zu können bleibt in meinen Augen nur ein verbundbares CGI-Script, welches von außen (also aus dem Internet) erreichbar sein muss. Wenn so etwas vorhanden ist und ein CGI-Script Zugang zu den Umgebungsvariablen der Konsole hat, würde ich das aber bereits als eigene Schwachstelle betrachten.

CGI ist nur eine Möglichkeit, und an sich ist CGI auch vollkommen in Ordnung.
Was auch durchaus anfällig sein kann sind z.B. PHP-basierte Lösungen, die System Calls ausführen, z.B. system(), exec), shell_exec() oder popen(). Und hier wirds spannend: Damit die Benutzeroberfläche eines Routers seinen Dienst korrekt verrichten kann (also: die Hardware des Routers konfigurieren), muss die Benutzeroberfläche auch Zugang zu System Calls haben. Ob nun über CGI, PHP oder sonstwas... spielt keine Rolle.

Aber könnte denn durch diese lücke Malware in die Firmware des Routers eingespielt werden?

Aber klar. Shellshock ist DIE ultimative Lücke, denn sie ermöglicht dem Angreifer im Zweifel sehr einfach Root-Zugang, über den beliebige weitere Payloads nachgeladen werden können.

Wie ist es eigentlich mit den Webservern? Verwenden die meisten Seiten wie z.b Google oder facebook usw. so ein CGI script oder irgendwas anderes, das diese bash Schwachstelle besitzt?

Facebook ist PHP-Code, der über eine HipHop Virtual Machine läuft. Google... kann alles mögliche sein. CGI wirds nicht sein...

Ich will nämlich keine Angst haben, dass wenn ich etwas herunterlade, dass diese Datei vielleicht manipuliert wurde...

Kannst du nicht, da Shellshock >20 Jahre alt ist. Jeder verwundbare Server ist schon seit Anbeginn der Zeit verwundbar.

 

[Luk4s-320]

Das heißt aber ja auch, dass die fritzbox ja auch PHP oder CGI verwendet für das konfigurationsmenü und somit ja auch verwundbar ist? Oder arbeiten die fritzboxen da irgendwie anders?

 

[Jesterfox]

Kommt drauf an ob bash installiert ist. Das ist zwar die verbreitetste Shell, aber nicht die einzige. Die meisten Router sollen wohl nur Busybox verwenden und sind somit nicht gefährdet. Im Zweifelsfall würd ich mal beim Hersteller anfragen.

 

[Luk4s-320]

Weiß denn hier jemand, ob bei der fritzbox denn für irgendetwas bash verwendet wird? Vielleicht durch ein script für's konfigurationsmenü oder so?

 

[Daaron]

finde heraus, wie du ne Verbindung zur installierten Shell aufbauen kannst... und dann guckst du, ob du eine bash starten kannst, z.B. per /bin/bash.