Mobile-Menu

Update auf FRITZ!OS 7.57 dringend empfohlen FRITZ!Box-Lücke ermöglicht Über­nahme von Router und Repeatern

Von Thomas Joos Lesedauer: 4 min |

Anbieter zum Thema

Dell GmbH
sysob IT-Distribution GmbH & Co. KG
Moxa Europe GmbH

Mit den Versionen FRITZ!OS 7.57 und 7.31 schließt AVM gravierende Sicherheitslücken in nahezu allen FritzBoxen. Die Installation sollte dringend vorgenommen werden, weil Angreifer ansonsten in das Netzwerk eindringen können.

Das BSI warnt: Durch eine Sicherheitslücke können Angreifer sogar über das Internet, via Port 443, auf eine FritzBox zugreifen und den Besitzer aussperren. AVM hat inzwischen ein FritzOS-Update veröffentlicht, das die Lücke schließt.
Das BSI warnt: Durch eine Sicherheitslücke können Angreifer sogar über das Internet, via Port 443, auf eine FritzBox zugreifen und den Besitzer aussperren. AVM hat inzwischen ein FritzOS-Update veröffentlicht, das die Lücke schließt.
(Bild: Dr. Harald Karcher)

Besitzer von AVM-FritzBoxen sollten in der Weboberfläche bei „System -> Updates“ ihres Routers sicherstellen, dass auf neuen Modellen mindestens die Version 7.57 installiert ist und auf klassischen Geräten, wie der FritzBox 7390 zumindest die Version 7.31 (FritzBox 5490 und 3490).

Bildergalerie
Bildergalerie mit 5 Bildern

Mit diesen Updates schließt AVM eine Sicherheitslücke, die es Angreifern aus dem Internet ermöglicht auf das lokale Netzwerk zuzugreifen. AVM selbst geht auf die Lücke nicht genauer ein, sondern beschreibt das Update auf FRITZ!OS Version 7.57 als „Notwendiges Stabilitäts- und Sicherheitsupdate“. Das BSI stuft die Lücke WID-SEC-2023-2262 mit einem CVSS Base Score von 7.3 als „hoch“ ein. Schlussendlich müssen sich Angreifer nicht mit dem WLAN verbinden, sondern können über die Internetleitung auf den Router zugreifen.

Auch Unternehmensnetzwerke in Gefahr

Die Angriffe sind teilweise auch dann möglich, wenn der Remotezugriff auf den Router über das Internet deaktiviert ist. Ermöglicht die FritzBox das Aufrufen der Weboberfläche aus dem Internet, ist die Lücke natürlich noch gravierender. Die Einstellungen dazu sind in der Weboberfläche bei „Internet -> MyFRITZ!-Konto“ zu finden.

Es reicht aus, wenn im Netzwerk irgendwo eine FritzBox mit dem Internet verbunden ist, zum Beispiel in Unternehmen als Testumgebung, Fallback oder für Einsätze in kleineren Büros oder Niederlassungen. Schaffen es Angreifer über diesen Weg in Netzwerke, bringt es auch nichts, wenn andere Internetleitungen durch professionelle Firewalls geschützt sind. Die aktuelle Lücke sollte daher keinesfalls unterschätzt werden.

Cyberkriminelle können FritzBox kapern

Ohne das aktuelle Update können Angreifer über das Internet über den Port 443 auf die FritzBox zugreifen und damit den Besitzer aussperren. Die (zahlreichen) offenen Ports einer FritzBox sind in der Weboberfläche bei „Diagnose -> Sicherheit“ zu finden. Ob der Angriff tatsächlich auf HTTPS und Port 443 erfolgt ist nicht sicher.

Um wieder Zugang zu erlangen, ist ein Werksreset der FritzBox notwendig. Das geht bei aktuellen FritzBoxen über den Link „Kennwort vergessen?“. Wurde eine FritzBox bereits gekapert, hilft es diese einige Minuten vom Stromnetz zu trennen, danach sollte die Anmeldemaske erscheinen.

Generell ist es sinnvoll bei FritzBoxen die Einstellung zur automatischen Installation von Updates auf der Registerkarte „Auto-Update“ bei „System -> Update“ festzulegen. Das stellt sicher, dass eine FritzBox sich automatisch aktualisiert, sobald ein Update zur Verfügung steht. Es sind aber auch manuelle Installationen notwendig. Dazu kann bei „Fritz!OS-Datei“ die Firmware-Datei von der AVM-Webseite heruntergeladen werden. Geübte Anwender, die keine automatische Installation möchten, sollten sich zumindest benachrichtigen lassen, wenn Updates verfügbar sind und diese so schnell wie möglich installieren.

Auch WLAN-Repeater betroffen?

AVM ist sehr zurückhaltend darüber, was Informationen zu der Lücke betrifft. Das liegt schlussendlich aber auch daran, weil noch lange nicht alle FritzBoxen auf die gepatchten Versionen aktualisiert sind. Da verschiedene Repeater aber ebenfalls das Update zu 7.57 und 7.31 erhalten, ist zu erwarten, dass AVM auch hier eine ähnliche oder gleiche Sicherheitslücke schließt. Das Betriebssystem der WLAN-Repeater unterscheidet sich schließlich nicht sehr stark voneinander.

Das gilt auch für andere AVM-Geräte, die über eine eigene Weboberfläche verfügen. Diese sollten alle möglichst schnell aktualisiert werden. Ob bereits ein erfolgreicher Angriff stattgefunden hat, lässt sich schwer feststellen. Es ist aber sehr sinnvoll, dass Besitzer von AVM-Geräten die Geräte genau überprüfen, zum Beispiel auf unbekannte WLAN-Geräte oder unpassende Einstellungen, Port-Freigaben und anderen Funktionen.

Es lässt sich derzeit nicht klar sagen, ob Angreifer nur auf die Weboberfläche zugreifen konnten, oder auch bei angebundenen Repeatern oder Smart-Home-Geräte Änderungen vornehmen konnten und unter Umständen Hintertüren geöffnet haben.

Bildergalerie
Bildergalerie mit 5 Bildern

Achtung bei Routern von Internetanbietern wie Vodafone, Deutsche Glasfaser und Co.

In vielen Haushalten stehen keine FritzBoxen, die unter eigener Kontrolle sind, sondern der Internetanbieter stellt diesen zur Verfügung. In diesem Fall kann es passieren, dass die Firmware auf den Geräten längere Zeit nicht auf dem aktuellsten AVM-Patchstand ist und die Geräte daher in Gefahr sind. Anwender sollten sich mit dem Anbieter in Verbindung setzen, oder notfalls das Gerät ersetzen. Teilweise erlauben die Internetanbieter, dass Kunden ihre Geräte selbst anpassen, aber das sollte im Vorfeld geklärt werden.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Dennis Slobodian, Pressesprecher der deutschen Glasfaser schreibt dazu: „Bei Deutsche Glasfaser ist es usus, dass jedes Software-Update der angebotenen Endgeräte (sofern der Kunde „automatische Updates“ zugelassen hat) direkt geprüft und aufgespielt wird. Aktuell sind auch alle AVM-Endgeräte auf dem neusten Firmware-Stand.“

Ein weiterer Weg ist eine zweite Firewall hinter der FritzBox, die das Heimnetzwerk schützt. Ob sich eine kommerzielle Lösung hier lohnt ist fraglich, aber eine Lösung mit OPNsense oder Pfsense wäre denkbar. Das ist dann aber eher etwas für erfahrenere Anwender. Wenn Sie sich dennoch daran wagen wollen, finden Sie im Folgenden einige hilfreiche Anleitungen.

(ID:49738753)

Weiterführende Inhalte