Heise warnt vor alter Schwachstelle in Vodafones EasyBox-Routern

Heise warnt erneut vor ungenügend abgesicherten EasyBox-Routern, wie sie Vodafone an seine Kunden verteilt. Angreifer haben es mit den Boxen einfach, so lang bei den Geräten das WPA-Passwort und die WPS-PIN nicht eigenhändig geändert werden. Grund für die erneute Warnung von heise ist die Unbekümmertheit, mit der der Provider scheinbar nur oberflächlich etwas für die Sicherheit seiner Kunden macht. Denn trotz großer "Sicherheitsoffensive" und einer Informationskampagne, mit der Vodafone laut eigenen Angaben mithilfe eines Firmware-Updates und einer Anleitung, wie WPA-Passwort und WPS-Pin geändert werden können, oder wie man WPS gleich ganz abschaltet, ist diese Informationen kaum bei den Kunden angekommen. Dabei ist das Problem nicht neu, wir hatten in der Vergangeneheit mehrfach über die Schwachstelle berichtet. Vodafone ist laut den Recherchen von heise aber nicht im Stande, die Schwachstelle zu schließen und verharmlost das Problem. heise hat betroffenen Netze mit einer App aufgespürt.

Geräte älterer Generationen betroffen

Das zeigt sich zumindest laut dem neuen Bericht. Nach Angabe von heise Security lassen sich verwundbare Router ganz leicht lokalisieren. Laut einer Stichprobe in einem Wohngebiet wurden überraschend viele Router gefunden, die noch nicht entsprechend gesichert sind. Das lässt sich nicht nur damit erklären, dass die Firmware-Updates nicht für ältere Generationen der Box verfügbar waren, es ist allem Anschein nach ein generelles Problem der fehlenden Aufklärung.

In dem Beitrag "Immer Ärger mit der EasyBox" erläutert heise Security ausführlich das Problem. Die Sicherheitslücke ist als solche seit langem bekannt, Vodafone und Sicherheitsforscher sollen seit Jahren in einem Katz-und Mausspiel die Sicherheitslücke immer wieder aufreißen und wieder schließen.

Hunderttausende betroffene Netze

"Durch eine Abwandlung eines seit mehreren Jahren bekannten Angriffs kann man viele der von Vodafone vertriebenen Standardrouter des Typs EasyBox innerhalb von Sekunden knacken, wie eine Analyse von heise Security zeigt. Dazu ist nicht mehr als eine Android-App nötig. Nach unseren Schätzungen sind mehrere hunderttausend Netze betroffen. Wer sich schützen will, muss selbst aktiv werden," schreibt heise.

Besonders problematisch seien die EasyBoxen, die vor 2011 hergestellt wurden, mit Ausnahme einiger Geräte der Bauserie 802. heise hat Vodafone erneut darüber in Kenntnis gesetzt, eine Stellungnahme gibt es bisher noch nicht.