AVM: Fritzbox-Firmware 7.57 und 7.31 stopfen Sicherheitsleck
AVM hat für zahlreiche Fritzboxen die Firmware 7.57 und 7.31 veröffentlicht. Es handelt sich um Stabilitäts- und Sicherheitsupdates.
(Bild: c't)
AVM hat die Aktualisierung auf Firmware-Version 7.57 sowie 7.31 für zahlreiche Modelle veröffentlicht. Es handelt sich nach Auskunft des Herstellers um ein Stabilitäts- und Sicherheitsupdate. AVM-Nutzerinnen und -Nutzer sollten es zügig installieren.
(Bild: Screenshot / dmk)
Die Informationen zu Updates von AVM sind äußerst schmallippig bezüglich der Firmware-Aktualisierung. Jedoch titelt die Meldung sogar mit "Sicherheitsverbesserungen in Fritz!OS 7.57" und erwähnt als einzige Änderung, dass es sich um ein "Notwendiges Stabilitäts- und Sicherheitsupdate" handele. Details will der Hersteller zu einem späteren Zeitpunkt veröffentlichen.
Fritzbox-Update: Bereits angegriffene Sicherheitslücke wahrscheinlich
In Internetforen finden sich Hinweise darauf, dass die mit dem Update geschlossene Sicherheitslücke bereits angegriffen wird. Den Gerüchten zufolge können Angreifer Zugriff durch den HTTPS-Port 443 erlangen und hätten dann Zugangsdaten zur Fritzbox sowie PPP-Zugangsdaten verändert. Dadurch sei kein Internetzugang mehr möglich, und auch der Zugriff auf die Fritzbox werde verhindert. Einzig ein Werksreset helfe dann, um wieder Zugriff zu erlangen.
Da die Fritzbox keinen Reset-Knopf hat, erfolgt der Werksreset aus der Bedienoberfläche heraus oder mittels angeschlossenem Telefon. AVM beschreibt für die Fritzbox 7590, dass zum Werksreset die Box vom Stromnetz getrennt und nach einer Minute wieder angeschlossen werden solle. Innerhalb von zehn Minuten gelingt der Zugriff auf die Weboberfläche. Dort helfe die Auswahl von "Kennwort vergessen?" und dann der Klick auf die Schaltfläche "Werkseinstellungen wiederherstellen"; zehn Minuten nach Neustart verschwindet die Schaltfläche. Das funktioniert auch für andere Modelle, etwa die Fritzbox 7530ax.
Manuelles Update durchführen
Die automatische Update-Funktion der Fritzboxen sollte die Aktualisierung in Kürze herunterladen und installieren, sofern die Funktion nicht abgeschaltet wurde. Allerdings kann sich das Anwenden der Aktualisierung noch etwas hinziehen. Bei der manuellen Suche auf einem Testgerät fand die Fritzbox die Aktualisierung, ohne weiteres Zutun plante sie das Update jedoch erst für die kommende Nacht ein. Der automatische Suchlauf in der Nacht zum Dienstag hat die Aktualisierung noch nicht gefunden und eingeplant.
(Bild: Screenshot / dmk)
Da die Schwachstelle offenbar bereits angegriffen wird, sollten Fritzbox-Besitzerinnen und -Besitzer die Update-Suche einmal manuell anstoßen und das verfügbare Update umgehend anwenden. Auf der Update-Übersichtsseite listet der Hersteller zahlreiche Modelle mit verfügbarer Firmware 7.57 auf: Fritzbox 6590 Cable, 7590, 7530, 7510, 5490 (7.31), 4060, 4040 und die 3490 (7.31). Auch für weitere Modelle stehen Aktualisierungen bereit, daher sollte auf allen Fritzboxen nach Updates gesucht und diese gegebenenfalls installiert werden.
Eine Antwort auf eine Anfrage von heise online bei AVM zu weiteren Informationen und eine Bestätigung, dass bereits Angriffe auf die geschlossene Schwachstelle bekannt sind, steht derzeit noch aus.
Eine Sprecherin von AVM sagte heise online auf Anfrage: "FRITZ!OS 7.57 ist ein vorsorgliches, notwendiges Stabilitäts- und Sicherheitsupdate. Wie bei jedem unserer Updates empfehlen wir, es zu installieren. Da im Auslieferungszustand unserer Produkte die automatische Update-Funktion aktiv ist, müssen die meisten Anwender nichts tun. Die vorsorgliche Sicherheit ist uns sehr wichtig, daher haben Sie bitte Verständnis, dass wir keine weiteren Informationen geben können".
Das BSI hat die Lücke in die CERT-Bund-Liste aufgenommen. Die Cybersicherheitsbehörde stuft demnach das Risiko derzeit mit einem CVSS-Wert von 7.1 als hoch ein.
Empfohlener redaktioneller Inhalt
Mit Ihrer Zustimmmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.
(dmk)
