Router & Co.: Grobe Security-Fails sind ein branchenweites Problem

Ein Team unabhängiger Sicherheitsforscher hat sich eine recht zufällig wirkende Gruppe von Routern und NAS-Systemen zur Hand genommen und einer Prüfung unterzogen. Und das Ergebnis kann kaum anders als erschreckend bezeichnet werden. Nachdem man in gerade einmal 13 tiefergehend untersuchten Produkten 125 Sicherheitslücken unterschiedlichster Form gefunden hatte, kam man zu dem Schluss, dass der Mangel an einer grundlegenden Sorgsamkeit in Sachen IT-Security im Grunde ein branchenweites Problem darstellt. Betroffen sind allein bei den getesteten Geräten Millionen von Anwendern, die diese weltweit einsetzen.

"Unsere Ergebnisse zeigen, dass Firmen und Haushalte weiterhin anfällig für verschiedene Exploits sind, die letztlich signifikante Schäden verursachen können", erklärte der Sicherheitsforscher Rick Ramgattie. Die Schwachstellen, die in der Untersuchung gefunden wurden, würden in jeder Web-Anwendung als völlig unakzeptabel eingestuft werden - die Router und NAS-Systeme gehen mit ihnen aber einfach in den Handel.

Nutzer stehen im Regen

Von den 13 getesteten Geräten gab es lediglich ein einziges, bei dem die Angreifer mit den ihnen zur Verfügung stehenden Exploits keinen Zugang auf Root-Ebene bekamen. Und die webbasierten Administrationsoberflächen waren bei allen auf dem einen oder anderen Weg angreifbar. Sechs der Geräte ermöglichten es in der Standard-Konfiguration, dass nicht nur die Authentifizierung umgangen werden konnte, sondern dass dies auch aus dem offenen Internet möglich war.

Ramgatties Kollege Stephen Bono sieht darin Hinweise darauf, dass die Hersteller in ihrer Qualitätskontrolle die Sicherheit völlig ignorieren, ihre Bug Bounty-Programme nichts taugen oder die Mitteilungen über Sicherheitsprobleme nicht weiter bearbeitet werden - oder eben sogar alles davon. Das Problem ist dabei vor allem, dass die Nutzer dem recht hilflos ausgeliefert sind und kaum eine Möglichkeit haben, mit eigenen Maßnahmen für Abhilfe zu sorgen.

Siehe auch: Sicherheit Fehlanzeige: BSI knickt vor Lobby der Router-Hersteller ein