Millionen Router von Unitymedia-Kunden sind von einer gerade bekannt gewordenen Sicherheitslücke betroffen. Der Anbieter hat bisher noch nicht alle Connect Box-Router mit einem Firmware-Update zum Schließen der Schwachstelle versorgt.
Aufgedeckt hat die Schwachstelle wohl ein deutscher Informatikstudent, der das Ganze am 1. Oktober 2019 unter dem Alias xitan im Blog-Beitrag Connect Box CH7465LG: Unauthenticated Remote Code Execution (CVE-2019-13025) veröffentlicht hat (komme erst heute dazu, das hier zu thematisieren).
Betroffener Router
Die Schwachstelle betrifft wohl die Connect Box CH7465LG mit der Firmware-Version CH7465LG-NCIP-6.12.18.24-5p8-NOSH, die unter Linux 3.12.14 auf einer Intel XScale CPU (armv6b) läuft. Diese Konstellation wurde dem Entdecker der Schwachstelle im Februar 2019 von Unitymedia als Standard-Kabelmodem für Neukunden geliefert.
Laut Unitymedia nutzen derzeit allein in Deutschland rund 1,8 Millionen Kunden die Connect Box. 1 Da die Connect Box auch von anderen ISPs wie KabelBW, UPC Austria und mehr genutzt wird, ist die Anzahl der betroffenen Kunden noch höher. Das Gerät und die Firmware selbst werden von Compal produziert und nur von den verschiedenen ISPs gebrandet.
Remote Code Execution Schwachstelle
In der genannten Firmware-Version CH7465LG-NCIP-6.12.18.24-5p8-NOSH gibt es eine Remote Code Execution-Schwachstelle, die der Entdecker in seinem Beitrag beschreibt. Die Schwachstelle erfordert aber Zugriff auf die Weboberfläche des Kabelmodems. Dies kann auf zwei verschiedene Arten erreicht werden:
- Als Client im lokalen Netzwerk des Geräts.
- Zugriff auf das Web-Interface über das Internet über die Fernwartungsfunktion.
Eine Schnellsuche nach Geräten mit offenen Ports über die Suchmaschine Shodan zeigt mehrere tausend betroffene Geräte. Ganz zu schweigen davon, dass jedes einzelne Gerät anfällig ist, wenn ein lokaler Zugriff möglich ist.
Die Webschnittstellen bieten Ping- und Traceroute-Funktionen, um die Netzwerkverbindung zu anderen Hosts zu testen. Obwohl die Webschnittstelle durch ein Passwort geschützt ist, benötigen die meisten APIs keine Form der Authentifizierung. Im Blog-Beitrag findet sich ein Video, welches den Angriff auf die Schwachstelle zeigt.
Es gibt wohl ein Firmware-Update CH7465LG-NCIP-6.12.18.25-2p6-NOSH, welches laut heise (die weitere Details beschreiben) derzeit von Unitymedia per Fernwartung installiert wird. Noch scheinen nicht alle Nutzer das Update bekommen zu haben (es ist die Rede davon, dass 95 % das Update haben). Ob eine hier berichtete Deaktivierung des Gastzugangs damit zusammen hängt, kann ich nicht sagen. Die Veröffentlichung durch xitan erfolgte, weil die 90 Tage Karrenzzeit inzwischen abgelaufen sind.
Unitymedia lässt den Einsatz von Fremdroutern nicht zu, oder blockiert diese, trotz Gesetz. Und das mit fadenscheinigen Begründungen.
In diesem Fall besteht die Möglichkeit, dass zeitnah Updates durch Unitymedia auf die Connect Box-Router eingespielt werden, so dass die Nutzer sich nicht kümmern müssen.
Das ist eine Fakebehauptung. Ich nutze eine Fritzbox, die ich unabhängig von Unitymedia erworben habe. Nach Durchgabe der MAC-Adresse wurde diese umgehend freigeschaltet.
Leider keine Fakebehauptung, siehe Artikel auf Golem
https://www.golem.de/news/bundesnetzagentur-keine-ausnahme-von-der-routerfreiheit-fuer-vodafone-1908-143507.html
Zitat: Als Client im lokalen Netzwerk des Geräts.
Wie gut das Unitymedia auf Kundenhardware (sofern nicht widersprochen) ein W-Lan als Uniytmedia Hotspot laufen hat. Die Möglichkeit ins lokale Netz zu kommen also gleich frei Haus mitgeliefert wird.
Auch in der Schweiz waren 500’000 Router betroffen von der Firma UPC
Sie hat ein Update vor einigen Wochen gemacht aber die Kunden nicht informiert.
https://www.inside-it.ch/articles/55706
Ich habe den Router im Bridge Modus und einen eigenen Router angehängt.
Beim Asus Router gibt es oft Firmware Updates die ich auch immer einspiele ;)
Was Golem schreibt, entspricht leider nur der halben Wahrheit. Richtig ist, dass Du wählen kannst. Auch bei Unitymedia. Allerdings ist die Auswahl nicht sehr groß. Auch ich benutze eine selbst erworbene Fritzbox, die umgehend freigeschaltet wurde.