Linksys-Router verraten Passwörter - Hersteller hüllt sich in Schweigen

Erneut fällt ein Hersteller von Home-Routern damit auf, der Sicherheit seiner Kunden schlicht keine besonders hohe Priorität einzuräumen. Seit Monaten zieht sich nun schon der Versuch hin, Linksys zur ordentlichen Behebung einer Schwachstelle zu bewegen.

Seit November Stille

Schon im November des letzten Jahres hatte die belgische Verbraucherschutzorganisation Testaankoop sich bei Linksys gemeldet, nachdem sie beim Test zweiter Geräte ein Sicherheitsproblem entdeckt hatte. Bis heute hat der Hersteller nicht geantwortet, ein zwischenzeitlich herausgegebenes Firmware-Update brachte auch keine Besserung mit sich.

Die Schwachstelle betrifft die beiden Mesh-Router-Modelle Linksys Velop Pro 6E und 7. Werden die beiden Modelle wie vorgesehen von einem Käufer mit der zugehörigen Smartphone-App eingerichtet, übertragen sie allerlei Daten an einen Server in einem Amazon-Cloud-Datenzentrum in den USA. Diese Verbindung ist nicht verschlüsselt, so dass Angreifer die Inhalte relativ einfach abfangen können.


Zu dem Paket an übertragenen Informationen gehört unter anderem die SSID des neu eingerichteten WLANs und auch das Passwort in Klartext. Auch Zugriffstoken für Benutzersitzungen und Datenbankidentifikationstoken waren in den Datenpaketen enthalten. Angreifer könnten diese Informationen abfangen, lesen und ändern, ohne dass der Benutzer oder der Amazon-Server dies bemerken würde.

App besser nicht nutzen

Die Verbraucherschützer raten den Nutzern der fraglichen Geräte, auf die Nutzung der App für die Einrichtung der Router vorerst zu verzichten. Besser ist der klassische Zugriff über eine lokale Netzwerkverbindung mit dem Browser, der den Anwender zur Konfigurations-Oberfläche führt.

Außerdem sollten Benutzer die Firmware ihres Routers stets auf dem neuesten Stand halten. Auf der Website des Unternehmens können unter den SKU-Bezeichnungen MX6200 für den Wi-Fi 6E-Router und MBE7000 für die Wi-Fi 7-Variante manuell Firmwares für die betroffenen Geräte heruntergeladen werden. Ob die neuesten Patches das Problem beheben, ist jedoch noch unklar, Linksys gibt in den Release Notes keine konkreten Informationen hierzu preis.


Siehe auch: