Router-Backdoor: Cisco, Netgear und Linksys versprechen Schutz

Die Netzwerk-Gerätehersteller Cisco, Netgear und Linksys bestätigen mittlerweile die Existenz der mysteriösen Backdoor in diversen Geräten. Über diese Hintertür können Angreifer alle Konfigurationsdaten auslesen und auch manipulieren; bei einem Test im Internet fand heise Security Passwörter für den Admin-Zugang der Router, das WLAN, den DSL-Zugang, Proxy-Server und für DynDNS-Dienste. Sogar Passwörter und Zertifikate für VPNs fanden sich auf einigen Geräten.

Cisco will nun bis Ende Januar Updates liefern, die beiden anderen nennen keine Termin für Abhilfe.

In einem Security Advisory bestätigt Cisco das Vorhandensein eines "undokumentierten Test Interface" in einigen Geräten der Small Business Kategorie. Bis Ende Januar will man kostenlose Updates bereitstellen, um das Problem zu beheben, das in der höchstmöglichen Gefahrenstufe (CVSS Score 10.0) einsortiert wurde. Einen Workaround nennt Cisco nicht – wie sich die betroffenen Kunden bis dahin schützen sollen, bleibt somit ihr eigenes Problem. Konkret betroffen sind laut Cisco folgende Modelle:

• Cisco RVS4000 4-port Gigabit Security Router bis Firmware 2.0.3.2
• Cisco WRVS4400N Wireless-N Gigabit Security Router 1.0, 1.1 bis Firmware 1.1.13
• Cisco WRVS4400N Wireless-N Gigabit Security Router 2.0 bis Firmware 2.0.2.1
• Cisco WAP4410N Wireless-N Access Point bis 2.0.6.1

Netgear bestätigte gegenüber heise Security ebenfalls, dass es da ein Sicherheitsproblem bei einigen "älteren Geräten" gibt; welche das genau sind, bleibt unklar. Insbesondere betont Netgear ausdrücklich, dass die Backdoor nur ausgenutzt werden könne, wenn der Angreifer sich bereits im lokalen Netz befindet: "Ein Angriff über das Internet ist nicht möglich" heißt es in der vorliegenden Stellungnahme. Das widerspricht den Erkenntnissen von heise Security. Allein ein Scan deutscher IP-Adressen förderte über 150 Router mit Backdoor zu Tage, die sich als Netgear-Gerät identifizierten. Von denen ließ sich dann über das Internet unter anderem das WLAN-Kennwort auslesen, das die Kunden nach Netgears nachdrücklichen Bitten zu Ihrem eigenen Schutz setzen sollten. Linksys gab bisher lediglich eine allgemeine Stellungnahme ab, dass man das Problem untersuche und baldmöglichst eine Lösung anbieten wolle.

Eine plausible Erklärung , wie es zu dieser gefährlichen Hintertür kommen konnte und vor allem, wie sie den eigenen Tests entgehen konnte, bietet bislang keiner der Hersteller. Cisco suggeriert mit seiner Wortwahl, dass es sich um eine vergessene Testfunktion handelt. Erschreckend ist allerdings, dass es bereits seit vielen Jahren reihenweise Anfragen von Kunden zu diesem Problem gibt. Bereits 2003 – also vor über 10 Jahren – fragte beispielsweise ein französischer Kunde im Netgear-Support-Forum nach, was es mit dem übers Internet erreichbaren TCP-Port 32764 auf sich habe. Bei Cisco beschwerte sich vor vier Jahren ein Kunde über das merkwürdige Verhalten seines Geräts – ohne Antwort zu erhalten. Erst als ein Sicherheitsexperte das Problem analysiert, die Ursache in der Firmware des Herstellers lokalisiert hatte und dann dokumentierte, wie man das auch konkret ausnutzen kann, kam der Stein ins Rollen.

Ob Ihr eigenes Gerät übers Internet angreifbar ist, können Sie ganz einfach beim Netzwerk-Check von heise Security testen. Ob die Backdoor eventuell aus dem lokalen Netz heraus erreichbar ist, kann man nur mit Telnet oder anderen speziellen Tools herausfinden.

Siehe dazu auch:

• Mysteriöse Backdoor in diversen Router-Modellen
• Backdoor in Routern: Hersteller rätseln und analysieren

• Mysteriöse Router-Backdoor: Viele tausend Router in Deutschland haben eine Hintertür - jetzt testen!
• Router auf Backdoor testen
• Router-Test des heisec-Netzwerkchecks

(ju)