Netzwerk-Sicherheitslücken Telekom und Vodafone geben Entwarnung

Millionen von Netzwerkgeräten sollen aufgrund von Sicherheitslücken verwundbar für Angriffe von außen sein. Betroffen sind unter Umständen auch Nutzer von DSL-Routern. Telekom, Vodafone und Kabel Deutschland geben nun Entwarnung: Ihre Geräte seien sicher.

Netzwerkkabel: Fehler in UPnP-Implementierungen machen es Angreifern leicht
dapd

Netzwerkkabel: Fehler in UPnP-Implementierungen machen es Angreifern leicht


Hamburg - Eine Sicherheitsfirma warnt aktuell vor schweren Sicherheitslücken im Zusammenhang mit dem UPnP-Protokoll (Universal Plug and Play). Diese Technik sorgt dafür, dass sich Geräte in Netzwerken zusammenschließen können. In bestimmten Fällen könnten Angreifer über mehrere Lücken in UPnP-Software via Internet in solche Netzwerke eindringen, 40 bis 50 Millionen Geräte seien betroffen.

Die Deutsche Telekom geht derzeit nicht von einer Gefährdung ihrer Kunden aus, wenn diese die von dem Unternehmen ausgelieferten Router der Speedport-Serie nutzen. UPnP-Funktionen seien bei den Speedport-Modellen nicht im Internet aktiv, so eine Sprecherin. "Einige der in den Berichten genannten kritischen Funktionen sind bei unseren Geräten so nicht implementiert."

Allerdings empfiehlt die Telekom Kunden, die DSL-Router von anderen Herstellern nutzen, sich an den Support des jeweiligen Herstellers zu wenden.

Die Easybox 904, die Kunden von Vodafone seit rund einem Jahr bekommen, sei von dem Problem nicht betroffen. Das teilte ein Sprecher des Unternehmens nach Rücksprache mit dem Hersteller mit. Die Funktion sei standardmäßig nicht aktiviert. Man habe über Nacht außerdem Testreihen mit aktivierter UPnP-Funktion durchgeführt, das beschriebene Fehlverhalten konnte dabei nicht festgestellt werden. Auch die davor ausgelieferten Router weisen die UPnP-Sicherheitslücken nach Angaben von Vodafone nicht auf.

AVM, der Hersteller der Fritz-Box, teilte am Mittwochnachmittag mit, dass keine ihrer Boxen von den Sicherheitslücken betroffen seien. Die betroffene Programmbibliothek sei bei den Routern der Firma noch nie zum Einsatz gekommen, das interne Netzwerk außerdem mit einer Firewall vom Internet getrennt.

Kabel Deutschland teilte am Donnerstagabend mit, es sei keine Sicherheitslücke in von Kabel Deutschland ausgelieferten Routern mit integriertem Kabelmodem nachweisbar.

Die US-Regierung hatte am Dienstag nach dem Bericht der Sicherheitsforscher eine seltene offizielle Warnung ausgesprochen. Das Heimatschutzministerium empfahl Computernutzern, UPnP wenn möglich zu deaktivieren, bis die Hersteller Software-Updates bereitgestellt haben. Kritisch werden die Lücken vor allem dann, wenn das betroffene Gerät direkt ans Internet angeschlossen ist, zum Beispiel bei Internet-Routern.

ore

Mehr zum Thema


Forum - Diskutieren Sie über diesen Artikel
insgesamt 13 Beiträge
Alle Kommentare öffnen
Seite 1
partey 30.01.2013
1. O2
Es wäre sehr schön, wenn SpOn auch bei O2(Alice) nachhaken könnte. Ich habe auf Nachfrage leider keine Antwort erhalten.
Emil Peisker 30.01.2013
2. LibUPnP kein Problem bei 1und1
Zitat von sysopdapdMillionen von Netzwerk-Geräten sollen aufgrund von Sicherheitslücken verwundbar für Angriffe von außen sein. Betroffen sind unter Umständen auch Nutzer von DSL-Routern. Telekom und Vodafone geben nun Entwarnung: Ihre Geräte seien sicher. http://www.spiegel.de/netzwelt/web/netzwerk-sicherheitsluecke-telekom-und-vodafone-geben-entwarnung-a-880493.html
Auch die von *1und1* verwendeten Router avm [b]"Fritz BOX"[B] haben mit dem Programm LibUPnP kein Problem. Es wird in Fritz Boxen schlicht nicht verwendet.
Emil Peisker 30.01.2013
3. sorry
Zitat von Emil PeiskerAuch die von *1und1* verwendeten Router avm [b]"Fritz BOX"[B] haben mit dem Programm LibUPnP kein Problem. Es wird in Fritz Boxen schlicht nicht verwendet.
funkruf 30.01.2013
4. FRITZ!Boxen sind auch nicht von UPnP-Lücke betroffen
Auf der Webseite von AVM ist seit eben zu lesen: [...] Keine FRITZ!Box ist von der beschriebenen Sicherheitslücke betroffen, da die verursachende Bibliothek „libupnp“ bei unseren Routern noch nie zum Einsatz kam. Auch ist die Firewall der FRITZ!Box immer aktiv und lässt sich nicht deaktivieren. Heimnetzwerkprotokolle wie UPnP sind grundsätzlich nicht aus dem Internet erreichbar. [...]
verhetzungsschutz 30.01.2013
5. Niemand hat die Absicht, in ihren Router einzubrechen
Zitat von sysopdapdMillionen von Netzwerk-Geräten sollen aufgrund von Sicherheitslücken verwundbar für Angriffe von außen sein. Betroffen sind unter Umständen auch Nutzer von DSL-Routern. Telekom und Vodafone geben nun Entwarnung: Ihre Geräte seien sicher. http://www.spiegel.de/netzwelt/web/netzwerk-sicherheitsluecke-telekom-und-vodafone-geben-entwarnung-a-880493.html
Ich kann aus eigener Erfahrung sagen, daß ein vorher nicht UPnP-fähiger Router der Telekom, nämlich ein Speedport W503V Typ A nach Update der Firmware auf Version 66.04.78 (derzeit immer noch letzter Stand) nunmehr seltsamerweise SSDP-Anouncements im Netzwerk verschickt, sich also als UpnP-Gerät im internen Netzwerk darstellt. Diese Funktion ist weder dokumentiert, noch lässt sie sich im Router-Setup abschalten. Außerdem antwortet der Router auf den Ports 49000 und 49443 mit XML-Dateien bei entsprechenden Anfragen. Ich habe derzeit zwar keinen Anhaltspunkt, daß UPnP auch im Internet an der WAN-Schnittstelle bereitgestellt wird, halte aber ganz generell zumindest jene Router für ein Sicherheitsrisiko, bei denen der Anwender nicht die vollständige Kontrolle über alle Funktionen hat und diese ggf. auch deaktivieren kann. In Zusammenhang mit Aspekten der Fernkonfiguration lässt sich nachvollziehen, daß Provider wie die Telekom mehr Interesse daran haben, daß willige Kunden die Vorzüge einer Plug-and-Play-Illusion irgendwelchen Sicherheitsaspekten vorziehen, zumal nicht vorhandene Optionen auch nicht zu Supportanfragen dazu führen können. Trotzdem ist die Frage aber nun unbeantwortet, ob sich nicht auch ein im internen Netzwerk aktives UPnP als echte Sicherheitslücke darstellt, wenn der Anwender auf eine dazu präparierte Website surft und diese dann den Router von innern aus umkonfiguriert. Vergleiche dazu die einschlägige Presseberichterstattung: 1. Ungewollte Fernkonfiguration für Heim-Router [Update] | heise online (http://www.heise.de/newsticker/meldung/Ungewollte-Fernkonfiguration-fuer-Heim-Router-Update-178571.html) 2. DSL fernkonfiguriert | heise Netze (http://www.heise.de/netze/artikel/DSL-fernkonfiguriert-221789.html)
Alle Kommentare öffnen
Seite 1

© SPIEGEL ONLINE 2013
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung der SPIEGELnet GmbH


Die Homepage wurde aktualisiert. Jetzt aufrufen.
Hinweis nicht mehr anzeigen.