Menü
Avatar von Max der Depp
  • Max der Depp

355 Beiträge seit 23.11.2005

CSRF? Hat AVM wohl nicht so ganz bedacht...

Auf der einen Seite, ist es schön, dass man sich auch offenbar am
Wochenende darum bemüht hat, möglichst viele Router zu patchen.

Allerdings teile ich die Meinung des AVM-Supports so garnicht was die
Möglichkeit betrifft, diese Lücke auch ohne aktivierten Fernzugriff
auszunutzen.

AVM empfiehlt ausdrücklich nur jenen Nutzern weitere
Sicherheitsmaßnahmen, die jemals den Fernzugriff aktiviert hatten -
ich behaupte, dass es möglich sein dürfte, die Boxen auch vom LAN aus
aufzumachen.
Wenn es einen Bug im Webinterface oder der UPnP-Implementation gibt,
kann ich diese mit variierendem Aufwand auch mittels JavaScript*
ausnutzen. Direkt aus dem LAN heraus vom Rechner des Opfers. Da ist
es dann egal, ob der Fernzugriff aktiviert ist oder nicht ;-)
Und ich gehe mal davon aus, dass ein Großteil der Nutzer das
Standard-IP-Subnetz 192.168.178.0/24 der Fritzbox nicht geändert
haben, womit es entweder über die IP-Adresse oder den Hostname
"fritz.box" durchaus wahrscheinlich ist, eine passende Box zu finden.

Auf Nachfrage bei AVM (an security at avm.de) verriert man mir, dass
derartiges wohl eher nicht passiert und ich doch bitte den Artikel
dazu auf der AVM-Webseite verinnerlichen möge.

* Mal vorausgesetzt, dass weder der Virenscanner noch der Browser
selbst oder installierte Plugins den Zugriff von einer externen
Webseite auf lokale IP-Adressen verhindern. Das passiert nicht so
häufig, wie es vielleicht wünschenswert wäre... :-(

Bewerten
- +
Anzeige