Details zum Sicherheitsupdate
FritzOS 7.57: Geschlossene Sicherheitslücke soll ohne Fernzugriff ausnutzbar sein
Das im September veröffentlichte Update FritzOS 5.75 hat eine wichtige Sicherheitslücke geschlossen. Zu dieser sind nun nähere Details aufgetaucht.
Anfang September hatte der Router-Hersteller AVM mit FritzOS 7.57 ein Sicherheitsupdate veröffentlicht, das eine kritische Sicherheitslücke schließen sollte. Details zu dem Update und der Sicherheitslücke gab es bislang nicht, diese sollten aber nachgeliefert werden. Konkrete Antworten blieben b...
Anfang September hatte der Router-Hersteller AVM mit FritzOS 7.57 ein Sicherheitsupdate veröffentlicht, das eine kritische Sicherheitslücke schließen sollte. Details zu dem Update und der Sicherheitslücke gab es bislang nicht, diese sollten aber nachgeliefert werden.
Konkrete Antworten blieben bis jetzt jedoch aus: "Die vorsorgliche Stabilität und Sicherheit ist uns sehr wichtig, haben Sie bitte Verständnis, dass wir momentan keine weiteren Informationen geben möchten", gab ein Sprecher gegenüber dem Portal Heise an.
Auch ältere Geräte von Sicherheitslücke betroffen
Lediglich die Information, dass die Installation der Updates in der Regel automatisch erfolgt, gab AVM bekannt. Kunden, die ihre Update-Einstellungen geändert haben und deren Router daher nicht automatisch mit der abgesicherten Firmware versorgt wurden, werde dringend empfohlen, die aktuelle Fritz OS-Version zeitnah zu installieren.
Obwohl offizielle Details zu dem Update weiterhin fehlen, deutet die Tatsache, dass auch ältere Modelle, wie etwa die 15 Jahre alte Fritzbox 7390, aktualisiert wurden, auf ein ernstzunehmendes Sicherheitsproblem hin. Dem Bericht von Heise zufolge konnten mittlerweile über Informanten aber weitere Details in Erfahrung gebracht werden.
Details zur Sicherheitslücke
Die zuverlässigste Quelle für Informationen zu dem Sicherheitsleck sei das Computer Emergency Response Team für Bundesbehörden (CERT-Bund), das am 5. September ein Advisory veröffentlichte. Demnach ermöglicht eine Schwachstelle in FritzOS von hohem Schweregrad (CVSS Base Score 7.3 von 10) einen nicht näher spezifizierten Fernangriff. Diese Schwachstelle betrifft laut dem Advisory alle FritzOS-Versionen vor 7.57 und somit alle Fritzbox-Router.
Spekulationen über weitere Hintergründe des Sicherheitslecks tauchen im italienischen Forum FibraClick auf. Dort berichten Nutzer von Angriffen auf die Fritzbox 7590 und weisen darauf hin, dass die Sicherheitslücke möglicherweise auch andere Fritzbox-Modelle betrifft. Angriffe sollen die Onlinezugangsdaten gelöscht und den Fernzugriff auf die Weboberfläche der Router blockiert haben.
Ist die Schwachstelle auch bei deaktiviertem Fernzugriff ausnutzbar?
AVM reagierte umgehend auf die Berichte und veröffentlichte Stabilitäts- und Sicherheitsupdates für zahlreiche Fritzbox-Modelle, einschließlich einiger Fritz-Repeater. Durch den Vergleich der abgesicherten Firmware-Version 7.57 mit der vorherigen Version konnte eine kritische Sicherheitslücke im Webserver bestätigt werden, die es Angreifern ermöglichte, die Konfiguration der Fritzbox zu ändern. Interessanterweise bleibt die Schwachstelle bestehen, selbst wenn der Fernzugriff auf das Webinterface deaktiviert ist.
Um sich einen Überblick über die Gesamtsituation zu verschaffen, führt AVM die aktuellen Versionen für seine Produkte auf seiner Website unter "Status der Produktunterstützung" auf. Die abgesicherten Updates sind jedoch unterschiedlich nummeriert, was die Sache nicht unbedingt vereinfacht. So lautet die aktuelle Version für neuere Geräte 7.57. Für die Fritzbox 5530 Fiber gibt es aber schon eine Version 7.58. Bei älteren Geräten ist die Versionsnummer trotz Sicherheitspatch niedriger: Bei der Fritzbox 7312 ist etwa FritzOS 6.56 aktuell, bei der 3490 ist 7.31 die aktuelle Version. Demnach trifft die pauschale Angabe beim CERT-Bund, dass alle Versionen unter 7.57 verwundbar sind, anscheinend nicht zu.
So schützen Sie sich vor möglichen Angriffen
Um sich vor möglichen Angriffen zu schützen, sollte die Fritzbox auf die abgesicherte Firmware-Version aktualisiert werden. Mit dem Menü "Assistenten/Update" in der Weboberfläche der Fritzbox können Sie nach verfügbaren Firmware-Updates suchen. Zudem sollten Sie unter "System/Update/Auto-Update" sicherstellen, dass mindestens "Stufe II: Über neue FRITZ!OS-Versionen informieren und notwendige Updates automatisch installieren" ausgewählt ist.
Falls für das eigene Gerät kein aktuelles Update verfügbar ist, wird empfohlen, Kontakt mit dem jeweiligen Provider aufzunehmen. Während auf das Update gewartet wird, sollte sichergestellt werden, dass der Fernzugriff auf die Weboberfläche deaktiviert ist. Achten Sie also darauf, dass die Option "Internetzugriff auf die FRITZ!Box über HTTPS aktiviert" im Menü "Internet/Freigaben" deaktiviert ist, um direkte Angriffe zu vermeiden.
