Noch im Verkauf, aber mit Lücke: D-Link-Router stehen ohne Update da

In vier Routern des Herstellers D-Link klafft eine Lücke, die vollen Zugriff aus der Ferne ermöglicht. Da die Geräte EOL-Status erreicht haben, wird es keine Updates mehr geben. Das Problem: Im Handel werden die betroffenen Modelle weiterhin angeboten.

D-Link-Router erreichen End-of-Life, genau dann wird eine Lücke entdeckt

Dass in Routern auch einmal Sicherheitslücken klaffen können, ist keine Seltenheit. Meist sind die Hersteller dann darum bemüht, relativ schnell Updates bereitzustellen. Wie heise schreibt, haben jetzt Sicherheitsforscher von Fortinet im Bezug auf vier Modelle von D-Link Alarm geschlagen, weil in deren Firmware eine schwere Sicherheitslücke klafft. Die Ende September entdeckte Schwachstelle ist mittlerweile mit der Kennung CVE-2019-16920 versehen und hat die Einstufung "kritisch" erhalten. Das Problem: Die Router haben ihr Support-Ende erreicht.

Wie die Forscher ausführen, ist die Firmware der Modelle DIR-655C, DIR-866L, DIR-652 und DHP-1565 betroffen - dies gilt laut heise auch für die aktuellsten Versionen. Die Analyse von Fortinet zeigt auf, dass sich der Fehler im sensiblen Anmeldevorgang verbirgt. Die Lücke macht es möglich, den wichtigen Authenti­fizierungsprozess vollständig zu umgehen. So ist es beispielsweise möglich, das Admin-Passwort abzurufen oder beliebigen Code auf den Geräten auszuführen. Fortinet hat die Ergebnisse der umfassenden Analyse in einem Blogbeitrag bereitgestellt.

Noch im Handel zu haben

Fortinet hatte die Sicherheitslücke am 22. September an D-Link gemeldet, das Unternehmen hatte diese am nächsten Tag bestätigt. Drei Tage später erfolgte dann die Mitteilung, dass die Produkte das Ende des Supports - "End of Service Life" - erreicht hätten. Wie D-Link in einer eigenen Mitteilung schreibt, gibt es für die Geräte "keine Unterstützung und keine Entwicklung", die Lücken werden also ungepatcht bleiben. Die Empfehlung: Nutzer sollten schnell zu neuen Geräten wechseln. Ein weiterer Betrieb der betroffenen Modelle erfolge "auf eigene Gefahr". Das Problem: Auf einigen Verkaufsplattformen werden die Router weiter angeboten, ein Hinweis auf das Support-Ende ist hier aber nicht zu finden. Router, D-Link, DIR-655 D-Link