Schwerwiegende Sicherheitslücken in D-Link-Routern DIR-300 und DIR-600
In den D-Link-Routern der Serie DIR-300 und DIR-600 sind schwerwiegende Sicherheitslücken entdeckt worden, mit denen die Einschleusung von schädlichen Programmanweisungen möglich ist. Angreifer können teilweise sogar über das Internet die Kontrolle über Router und Netzwerk erlangen. Möglich macht dies eine fehlende HTTP-Absicherung eines kritischen Router-Befehls. Im Detail geht es um eine einfache
Einschleusung von Linux-Befehlen über den cmd-Parameter im HTTP-Request-Body. So kann beispielsweise ein Terminal-Dienst auf dem Router gestartet werden, um umfassenden Zugang zum System zu erhalten.
Zudem vereinfacht die unzureichende Konfiguration die Übernahme des Routers. Beispielsweise wird für die Änderung von Kennwörtern nicht das alte abgefragt, was aber ohnehin unnötig ist, da diese im Klartext gespeichert sind. Letzteres ist nicht neu und sorgte bereits 2011 für eine Sicherheitswarnung bei D-Link-Routern. Die Möglichkeiten für den Angreifer sind dadurch vielfältig und erlauben beispielsweise die Manipulation der Web-Oberfläche des Routers, um schädliche Programmanweisungen auf den Computer des Administrators einzuschleusen.
D-Link soll der Fehler seit Dezember bekannt sein, doch ist bislang keine Firmware-Aktualisierung geplant. Über einen Netzwerkcheck kann geprüft werden, ob dem verwendeten Router unmittelbar Gefahr droht. Sofern ein Port erreichbar ist, wird empfohlen, die betreffenden D-Link-Router vorerst vom Netz zu nehmen und andere Lösungen zu verwenden. Bestätigt sind die Sicherheitslücken in den DIR-300-Firmwares 2.12 und 2.13 sowie in den DIR-600-Firmwares 2.12b02, 2.13b01 und 2.14b01.
Weiterführende Links: