Backdoor in Firmware beliebter Router - ein Patch ist nicht absehbar

In mehreren WLAN-Routern des chinesischen Herstellers Tenda ist eine bislang nicht dokumentierte Hintertür entdeckt worden, die Angreifern einen direkten Administratorzugang verschaffen kann. Ein Patch ist nicht verfügbar.

Fest codiertes Passwort

Betroffen sind nach Angaben des US-amerikanischen CERT Coordination Center fünf Firmware-Versionen, für die kein Sicherheitsupdate verfügbar ist. Die Schwachstelle wurde von einem bislang nicht namentlich genannten Sicherheitsforscher entdeckt. Normalerweise erfolgt die Verwaltung der Router über eine Weboberfläche, die durch Benutzername und Passwort geschützt ist. Die Analyse zeigte jedoch, dass sich diese Authentifizierung umgehen lässt. Statt der regulären Zugangsdaten genügt offenbar ein alternatives Passwort, um Administratorrechte zu erhalten, ein Benutzername ist dabei gar nicht erforderlich.

Laut des Sicherheitsberichts überprüft die Firmware einen zusätzlichen, in der Gerätekonfiguration hinterlegten Passwortwert. Stimmen die Angaben überein, wird automatisch eine gültige Sitzung mit Administratorrechten erstellt. Diese Funktion sei weder dokumentiert noch über die reguläre


Als alternatives Passwort gilt demnach der Begriff "rzadmin", der bereits in früheren Untersuchungen zu Tenda-Geräten erwähnt worden war. Unklar bleibt jedoch, weshalb diese Funktion überhaupt in der Firmware vorhanden ist. Da der Hersteller bislang nicht auf Anfragen reagiert hat, lässt sich der Zweck nicht eindeutig feststellen. Experten vermuten, dass es sich um eine während der Entwicklung genutzte Debugging-Funktion handeln könnte, die versehentlich in den veröffentlichten Firmware-Versionen verblieb.

Neukauf ist ratsam

Von der Sicherheitslücke betroffen sind die Firmwares der Routermodelle FH1201 High Power AC1200 Dual Band Wireless Router, W15E v2.0 AC1200 Wireless Hotspot Router, AC10 v1.0 AC1200 Smart Dual-Band Gigabit Router, AC5 v1.0 AC1200 Smart Dual-Band Router sowie AC6 AC1200 Router. Mindestens ein Teil dieser Geräte wird inzwischen nicht mehr hergestellt.

Da bislang keine Fehlerbehebung bereitsteht, empfiehlt das CERT betroffenen Nutzern, die Fernverwaltung über das Webinterface zu deaktivieren. Außerdem sollte die standardmäßig voreingestellte IP-Adresse des lokalen Netzwerks geändert werden, um automatisierten Suchprogrammen einen Erfolg zu erschweren. Für technisch weniger erfahrene Anwender könne es allerdings die einfachere und sicherere Lösung sein, ein aktuelleres Routermodell mit weiterhin unterstützter Firmware einzusetzen.


Siehe auch: