Alte Firmware mit Lücken:
AVM Fritzbox-Router brauchen Update

Fritzbox-Router, auf denen eine ältere Firmware-Version als FritzOS 6.30 installiert ist, sind von einer Sicherheitslücke betroffen. Die auf die Durchführung von Penetrationstests spezialisierte Firma RedTeam Pentesting will den Fehler schon vor Monaten entdeckt haben.

Update dringend empfohlen

Das Berliner Telekommunikations- und Netzwerktechnik-Unternehmen AVM wird nicht müde immer wieder zu betonen, dass Nutzer der Fritzbox-Router ihre Modelle auf dem neusten Stand halten sollten, falls sie auf automatische Sicherheits-Updates verzichten oder nicht erhalten können. Wie das Aachener Unternehmen RedTeam Pentesting jetzt bekannt gibt, klafft in Fritzboxen mit älteren Firmware-Versionen als FritzOS 6.30 eine Sicherheitslücke. FritzOS 6.30 sollte es schon sein Wie die Experten erläutern, ist es Angreifern möglich, durch die Ausnutzung der Schwachstelle Rootrechte zu erlangen. So wird es unter anderem möglich, den Datenverkehr zu überwachen. Wenn das Gerät auch für Telefonie konfiguriert ist, können außerdem Anrufe getätigt und entgegengenommen werden. Zu guter Letzt könnten Backdoors installiert werden, um einen permanenten Zugang zu erhalten.

Wie immer eher kompliziert

Wie häufig bei solchen Sicherheitslücken ist es für die Angreifer zunächst nicht unbedingt leicht, diese auszunutzen. Entweder muss ein direkter Zugang zu der Fritzbox - beispielsweise per LAN-Netz - zur Verfügung stehen, alternativ können die Opfer auf eine entsprechend präparierte Webseite gelockt werden. Nach aktuellen Informationen sind alle Fritzbox-Modelle des Typs 3272, 7272, 3370, 3390, 3490, 7312, 7412, 7320, 7330 (SL), 736x (SL) und 7490 von dem Problem betroffen, wenn auf diese wie beschrieben noch eine ältere Firmware-Version als 6.30 installiert ist.

Schon im Juli 2015 hatte AVM die Fritzboxen 7360 und 7490 mit einem Update versorgt, das diese Lücke schließt. Alle weiteren Modelle wurden dann im Oktober mit einer neuen OS-Version abgesichert. In den Sicherheitshinweisen zum Release des FritzOS 6.30 sind die Anpassungen unter dem Punkt "Command-Injection-Mögichkeit aus dem LAN beziehungsweise über CSRF behoben" zusammengefasst.

RedTeam Pentesting hatte den Fehler nach eigenen Angaben schon im Februar 2015 entdeckt und einen Monat später an AVM gemeldet. Ab dem 01.10. habe dann für alle Fritzbox-Modelle ein Fix bereitgestanden. Die Bekanntmachung der Lücke wurde dann noch einmal auf Anfang 2016 verschoben, um einer ausreichenden Verbreitung der Patches nicht zuvorzukommen.

FritzOS-Update in wenigen Schritten Die offizielle Anleitung von AVM