FritzBox-Sicherheitslücke:
Vorsicht auch bei deaktiviertem Fernzugriff

Vor über einem Monat hatte der Internetspezialist AVM ein wich­tiges Sicherheitsupdate für FritzBox und Zusatz-Netz­werk­geräte gestartet. Bisher wurden von dem Unternehmen aller­dings noch kaum Details über die Sicherheitslücke veröffentlicht.

Analyse der FritzBox-Schwachstelle

Das folgt nun mit einer Analyse von Heise. Auch das Bundesamt für Sicherheit in der Informationstechnik hatte schon über die Schwachstelle berichtet und eine Warnung herausgegeben.

Laut dem BSI handelt es sich bei der Sicherheitslücke um eine Schwachstelle, die per Remote-Angriff aus der Ferne ausgenutzt werden kann. Heise meldet jetzt, dass das Sicherheitsleck in der AVM-Firmware sogar bei deaktiviertem Fernzugriff besteht - damit ist die Schwachstelle noch einmal gefährlicher für Nutzer, vor allem, wenn sie sich bisher nicht selbst um ihren Schutz vor Außenzugriff gekümmert haben.


Heise hat nun laut eigenen Angaben weitere Details zugespielt bekommen und die Sicherheitslücke analysiert.

"Die Antwort darauf lieferte uns ein Informant, der die abgesicherte FritzOS-Version 7.57 mit der Vorversion verglichen hatte", heißt es in dem neuen Bericht. "Die wichtigste Erkenntnis unseres Informanten ist jedoch, dass sich die Lücke selbst dann ausnutzen lässt, wenn der Fernzugriff auf das Webinterface deaktiviert ist."

Nicht spezifizierter Angriff aus der Ferne

Möglich wird das durch die Schwachstelle, die als Advisory WID-SEC-2023-2262 veröffentlicht wurde. Sie beschreibt einen nicht spezifizierten Angriff aus der Ferne. Die Schwachstelle lässt sich unabhängig vom eingestellten Port ausnutzen.

Der Angriff selbst kann über eine manipulierte Webseite erfolgen, auf die die Opfer gelockt werden müssen. Die Angreifer haben dann - so lange man nicht das neueste Sicherheitsupdate von AVM nutzt - auch ohne Passwort Zugriff auf das Webinterface und können etwa den Nutzer aussperren. Genau das soll bereits geschehen sein, dazu gab es bereits vor einigen Wochen Berichte aus einem italienischen Forum.

Die aktuell beste Empfehlung lautet daher, seine Geräte regelmäßig auf verfügbare Update zu prüfen und so der Sicherheitslücke aus dem Wege zu gehen.

Und so geht es: Am Beispiel einer FritzBox kann das Update über die Browser-Oberfläche (fritz.box) des Routers durchgeführt werden. Bereits auf der Übersichtsseite wird am oberen rechten Seitenrand über die aktuelle FritzOS-Version informiert. Freie Router können den Download und die Installation der neuen Firmware im Menüpunkt System > Update anstoßen.

Bei Mietgeräten von Vodafone (FritzBox Cable) und Co. wird das Update vom Netzbetreiber durchgeführt. Auch hier hat der Rollout von FritzOS 7.57 und weiteren überarbeiteten Versionen bereits begonnen. Oft hilft ein Reboot der FritzBox im Menü System → Sicherung → Neustart, um die Installation zu starten.

Standardmäßig werden sämtliche Updates jedoch automatisch durchgeführt und erfordern keine direkte Einflussnahme der Nutzer. AVM hat angekündigt, Details zu der Sicherheitslücke zu einem späteren Zeitpunkt nachzureichen. Das ist ein typisches Vorgehen, da zunächst die Sicherheit der Nutzer vorgeht und die Updates forciert werden sollen.
Siehe auch: