Vodafone will schwere Lücke in seinem Kabel-Modem nicht schließen

Kabel Deutschland wurde vor bereits einer ganzen Weile vom Telekommunikationskonzern Vodafone übernommen und die Briten wollen sich mit Unitymedia auch noch einen anderen deutschen Kabelanbieter einverleiben. Entsprechend viele Kunden hat man, in Sachen Sicherheit herrscht bei Vodafone aber wohl Nachholbedarf. Vodafone ist hierzulande vor allem als Mobilfunkanbieter bekannt, seit 2013 und der Übernahme von Kabel Deutschland ist man aber auch als Provider für etliche deutsche Haushalte zuständig. Dort steht dann entweder ein vom Provider zur Verfügung gestelltes Modem oder eine Fritz!Box.

Wer letztere nicht angemietet hat, der bekommt von Vodafone ein Gerät. Aussuchen kann man sich das Kabel-Modem nicht, denn Vodafone hat hier mehrere Modelle im Angebot. In zumindest einem Fall lässt die Sicherheit zu wünschen übrig.

Auf YouTube ansehen
Denn ein YouTuber namens Frederik Staab alias UsefulVid (via Deskmodder) hat herausgefunden (Update: Es gibt dazu nun auch einen Blogbeitrag), dass die Geräte Compal CH7466CE (mit Firmware 4.50.19.12) an so mancher Stelle mit Problemen zu kämpfen haben. So werden die Modems des Herstellers aus Taiwan kaum bis gar nicht mit Updates versorgt und das hat auch Folgen für die Sicherheit.

Port bleibt offen

Der Macher des Videos beschäftigt sich mit der Möglichkeit, Ports freigeben zu können, was auch in so manchem Szenario wünschenswert ist. Doch offenbar ist es bei den Compal-Modems möglich einen bestimmten Port anzusprechen, selbst wenn man keine Freigabe eingerichtet hat.

Eigentlich sollte die Firewall das verhindern, denn natürlich ist es ein absolutes No-Go, dass man von der Ferne auf ein Heimnetz zugreifen kann. Doch genau das gelingt UsefulVid, mit einem Smartphone schafft er es, auf (seinen eigenen) Port 1194 zuzugreifen.

Sicherheitsprobleme sind natürlich unschön, aber kommen vor. Das hat auch keine große Auswirkung, wenn die Lücken geschlossen werden. Doch genau an dieser Stelle kommt ein Aber. Denn UsefulVid hat das eigenen Angaben nach dem Provider bereits mehrfach gemeldet, laut Staab "interessiert das bei Vodafone niemanden". Sollte das stimmen, dann ist das natürlich nicht gerade der beste Weg, auf schwerwiegende Sicherheitslücken zu reagieren.

Update 17.Mai: Es gibt jetzt eine Lösung.