Vermutlich haben es zahlreiche unserer Leser mitbekommen: Die Router von AVM haben fast durch die Bank ein Sicherheits-Update auf Version 7.57 von FRITZ!OS erhalten. Während AVM selbst bislang zur Sicherheitslücke schweigt, schwappten schon vor längerer Zeit Informationen zur Lücke rüber.
Angreifern soll es möglich gewesen sein, auf FRITZ!Boxen zuzugreifen und die Konfiguration auf dieser zu ändern. Bei heise.de hat sich jemand gefunden, der die aktuelle FRITZ!OS-Version mit einer anfälligen verglichen hat. Heise nennt nicht alle Details zur Lücke, doch was man mitteilt, reicht eigentlich, um die Schwere zu verstehen.
Es wurde festgestellt, dass die Updates tatsächlich eine Schwachstelle im Webserver schließen, die es Angreifern ermöglicht, die Konfiguration der Fritz!Box zu überschreiben. Die Schwachstelle betrifft nicht nur die Fritz!Box, sondern auch Repeater. Eine wichtige Erkenntnis ist, dass die Schwachstelle auch dann ausgenutzt werden kann, wenn der Fernzugriff auf das Webinterface deaktiviert ist.
Ein Angreifer kann sein Opfer einfach auf eine Website lenken, die auf das interne Netzwerk-Webinterface verweist, zum Beispiel durch Cross-Site-Request-Forgery (CSRF) oder Umleitungen. Das Abschalten des Onlinezugriffs auf das Webinterface oder die Verwendung eines komplexen Passworts bietet keinen Schutz vor solchen Angriffen, da kein Passwort benötigt wird.
Quelle; caschy