Netgear patcht Lücke in Firmware für WLAN-Router
Compass Security hat die mit den Standardeinstellungen ausnutzbare Lücke in der Router-Firmware N300 von Netgear Ende Juli entdeckt. Netgear hat heute ein Sicherheits-Update veröffentlicht. Da die Lücke bereits von Angreifern ausgenutzt wird, solte das umgehend eingespielt werden.
Compass Security hat auf eine Sicherheitslücke in WLAN-Routern von Netgear hingewiesen. Eigenen Angaben zufolge hat das Sicherheitsunternehmen die Lücke am 21. Juli entdeckt und den Hersteller am 23. Juli informiert. Am 21. August wurde ihm dann ein Ultimatum von 90 Tagen ab Entdeckung gesetzt. Nachdem diese Frist verstrichen ist, hat das Unternehmen seine Erkenntnisse am Wochenende veröffentlicht.
Die Lücke steckt in der Web-Oberfläche für den Fernzugriff. Ist der aktiviert und versucht sich ein Unbefugter mit falschen Daten einzuloggen, wird er auf eine Fehlermeldung umgeleitet. Dort kann er durch Eingabe einer URL das Passwort umgehen. Heute hat Netgear einen Patch bereitgestellt. Er ist für Besitzer von Netgear-Routern mit den Modellbezeichnungen JNR1010v2, WNR614, WNR618, JWNR2000v5, WNR2020, JWNR2010v5, WNR1000v4, WNR2020 und der Firmware-Version 1.1.0.32 wichtig.
Die sollten das Update umgehend einspielen. Denn Laut Compass Security wurde die Lücke bereits erfolgreich ausgenutzt. Gegenüber Threatpost erklärte Alexandre Herzog, CTO von Compass Security, dass sein Unternehmen der Lücke nach Kontakt mit einem Betroffenen auf die Spur gekommen sei. Darüber habe man den Kontrollserver der Angreifer identifizieren können und dort Daten von mehr als 10.000 bereits erfolgreich angegriffenen Routern gefunden.
Erst vergangene Woche war eine Sicherheitslücke in einem WLAN-Router von Huawei bekannt geworden. Das Modell B260A stellt die Internetverbindung allerdings via UMTS her. Es wurde in Deutschland früher von E-Plus verkauft und von Tele2 als “Tele2”-Box vertrieben. E-Plus-Besitzer Telefónica hat auf Anfrage von ITespresso darauf verwiesen, das für Firmware-Updates der Hersteller zuständig ist. Die Produktseite mit dem Hinweis “Ausverkauft”, die vergangene Woche noch online war, wurde inzwischen gelöscht. Von Tele2, dass das Gerät ja Kunden nicht nur als Produkt verkauft, sondern als Endgerät zur Verfügung gestellt hat, liegt noch keine Stellungnahme vor. Der Entdecker dieser Sicherheitslücke, Pierre Kim, hat von Huawei die Auskunft bekommen, dass für das schon ältere Gerät kein Patch mehr entwickelt werde.