Kritieke kwetsbaarheid in FRITZ!Box-modemrouter gepatcht
Een kritieke kwetsbaarheid in de FRITZ!Box-modemrouter van fabrikant AVM waardoor aanvallers het toestel op afstand konden overnemen is vorig jaar gepatcht, zo is nu bekend geworden. De kwetsbaarheid bevond zich in een service genaamd 'dsl_control'.
Door verbinding met deze service te maken kon een aanvaller willekeurige code op de modemrouter uitvoeren en rootrechten krijgen. Vervolgens zou het mogelijk zijn om verkeer van gebruikers af te luisteren, telefoonnummers te bellen en eventueel een backdoor te installeren om langere tijd toegang tot het apparaat te behouden, aldus onderzoekers van het beveiligingsbedrijf RedTeam Pentesting.
De kwetsbaarheid werd vorig jaar februari ontdekt en een maand later aan AVM gerapporteerd. In juli begon AVM met het uitrollen van updates voor de FRITZ!Box. In eerste instantie was het plan om de details over de kwetsbaarheid in november te publiceren, maar dat werd uitgesteld om ervoor te zorgen dat meer modemrouters de nieuwe firmware-update hadden ontvangen waarmee het probleem wordt verholpen.
Deze week zijn de details alsnog gepubliceerd. Daaruit blijkt dat de kwetsbare service alleen vanaf het interne netwerk toegankelijk is, maar het ook mogelijk is om de kwetsbaarheid via 'cross-site request forgery' aan te vallen. In dit geval zou het bezoeken van een kwaadaardige pagina voldoende zijn om de modemrouter over te nemen. In het geval van XS4ALL, dat ook de FRITZ!Box-modemrouter gebruikt, zou het apparaat vorig jaar november al naar versie 6.30 zijn bijgewerkt. Nu de details gepubliceerd zijn krijgen eigenaren het advies om te controleren dat ze over versie 6.30 of nieuwer beschikken.
Altijd graag AVM routers/modems gebruikt maar dit wel mijn laatste en ben op een andere aanbieder overgegaan om dat AVM erg langzaam is met updates en nieuwe features en laat ons jaren wachten voordat het komt als het ooit komt.
Altijd graag AVM routers/modems gebruikt maar dit wel mijn laatste en ben op een andere aanbieder overgegaan om dat AVM erg langzaam is met updates en nieuwe features en laat ons jaren wachten voordat het komt als het ooit komt.
Vorig jaar een kritiek lek ontdekt, dezelfde dag een waarschuwing met work around om lek te dichten gepubliceerd en 3 dagen later een update om het probleem op te lossen. Ik ken geen enkele andere fabrikant die een lek zo snel dicht. Fritzboxen worden jaren later nog steeds ondersteund. Dat kun je bij de (meeste) andere router fabrikanten niet zeggen.
Altijd graag AVM routers/modems gebruikt maar dit wel mijn laatste en ben op een andere aanbieder overgegaan om dat AVM erg langzaam is met updates en nieuwe features en laat ons jaren wachten voordat het komt als het ooit komt.
Toch wel (voor de 7360 dan) want ik heb geen XS4ALL meer (opgezegd - nu Ziggo) maar kreeg de update toch :-)
With the latest FRITZ!OS version, your FRITZ!Box is perfectly adapted to the current developments in networking ensuring rapid Internet speeds. The upgrade is available for FRITZ!Box 7490, 7390, 7360, 7330, 7272, 3490, 3390, 3370, 3272, 6840 LTE and 6810 LTE.
Updates for further models will follow.
Altijd graag AVM routers/modems gebruikt maar dit wel mijn laatste en ben op een andere aanbieder overgegaan om dat AVM erg langzaam is met updates en nieuwe features en laat ons jaren wachten voordat het komt als het ooit komt.
Toch wel (voor de 7360 dan) want ik heb geen XS4ALL meer (opgezegd - nu Ziggo) maar kreeg de update toch :-)
Via AVM kun je wel een update krijgen maar niet de allernieuwste. Die is alleen via XS4ALL te krijgen als je ergens dat
vinkje voor updaten door de provider aanzet.
Echter voor zover me bekend lost de nieuwste publieke update wel het oude probleem op waar deze discussie over gaat
en is die dus goed genoeg. De update via XS4ALL is er om bepaalde functionaliteit toe te voegen waar XS4ALL gebruik
van maakt (met betrekking tot IPTV).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
