Authentifizierungsschwachstelle CVE-2021-20090 bei Arcadyan-basierten Routern und Modems

[English]Router und Modems des in Taiwan ansässigen Herstellers Arcadyan weisen eine Schwachstelle CVE-2021-20090 auf, mit der sich die Authentifizierung umgehen lässt. Die Router und Modems werden unter vielen Handelsnamen von anderen Herstellern vertrieben. Bei der Telekom betrifft dies den Speedport Smart 3, bei Vodafone die EasyBox 802, 903 und 904. Hier ein kurzer Überblick über die Schwachstelle.

Das Ganze wurde von Tenable entdeckt und in diesem Dokument beschrieben. Das CERT hat inzwischen diesen Sicherheitshinweis zur Schwachstelle CVE-2021-20090 zum 20. Juli 2021 publiziert.

In zahlreichen Routern verschiedener Hersteller, die die Arcadyan basierende Firmware verwenden, besteht eine Path Traversal-Schwachstelle (CVE-2021-20090). Diese Schwachstelle ermöglicht einem nicht authentifizierten Benutzer den Zugriff auf sensible Informationen, die normalerweise geschützt sind, und nun eine Änderung der Routerkonfiguration ermöglichen.

Wird diese Sicherheitslücke erfolgreich ausgenutzt, kann ein Angreifer auf Seiten zugreifen, für die sonst eine Authentifizierung erforderlich wäre. Ein nicht authentifizierter Angreifer könnte Zugang zu sensiblen Informationen erhalten, einschließlich gültiger Anfrage-Token, die für Anfragen zur Änderung von Router-Einstellungen verwendet werden könnten.

Der Sicherheitsforscher, der die Schwachstelle entdeckte, ging zunächst davon aus, dass die Schwachstelle auf einen Router-Hersteller beschränkt ist, und veröffentlichte seine Ergebnisse, entdeckte dann aber, dass das Problem in der auf Arcadyan basierenden Software besteht, die in Routern mehrerer Hersteller verwendet wird. Bei Tenable findet sich diese Liste betroffener Geräte:

Das CERT/CC empfiehlt, den Router auf die neueste verfügbare Firmware-Version zu aktualisieren. Es wird außerdem empfohlen, die Remote-Administrationsdienste (WAN-seitig) auf jedem SoHo-Router zu deaktivieren und auch die Web-Schnittstelle im WAN zu deaktivieren.