EDV-Technische Arbeiten – Bastian Burk

Mehrere von der Telekom vertriebene WLAN-Router (Speedport W 504V, Speedport W 723 Typ B und Speedport W 921V) haben nach Informationen der Telekom eine Schwachstelle, die den unautorisierten Zugriff auf interne Netzwerke ermöglicht. Der Grund ist ein Fehler in der WPS-PIN-Methode, die Nutzern eine vereinfachte Einrichtung ihres WLANs ermöglicht. Da in diesen Routern die gleiche WPS-PIN existiert, könnte ein Angreifer sich unautorisiert mit dem internen Netzwerk verbinden. Anschließend kann er  über den Internet-Zugang im Internet surfen und auf die Dateien von Netzwerkfestplatten oder freigegebenen Ordnern zugreifen. Von der beschriebenen Sicherheitslücke sind Anwender betroffen, die die oben   genannten Modelle nutzen. Die Bezeichnung finden Sie auf dem Router (z.B. auf dem Typenschild des Routers auf der Rückseite).

Nutzer der beiden WLAN-Router Speedport W 504V und Speedport W 723V Typ B sollten vorübergehend über die Konfigurations-Weboberfläche des Geräts die WPS-Funktionalität deaktivieren.

Hingegen ist auf dem Modell Speedport W 921V eine Deaktivierung von WPS nicht möglich, und auch das Ändern der PIN schließt die Lücke nicht. Deshalb können sich Betroffene momentan nur durch die Abschaltung des WLANs schützen. Eine Beschreibung des Vorgehens findet sich in der Bedienungsanleitung. Nach der Abschaltung des WLANs können Anwender kabelgebunden ins Internet gehen. Um durch zukünftige Firmware-Updates geschützt zu werden, sollte man sicherstellen, dass die Funktion automatischer Updates aktiviert ist.

[UPDATE]

Die Telekom hat nunfür den Router Speedport W921V die Beta-Version der Firmware zum Download bereitgestellt, die den Fehler in der WPS-Funktion beheben soll. Laut einer zur Firmware gehörenden Datei muss diese Beta-Firmware “noch gemeinsam mit dem Gerätehersteller getestet werden, bevor diese freigegeben werden kann.” Mit der Freigabe rechnet die Telekom erst für die kommende Woche. Bis dahin wird sich wohl auch die von der Telekom angekündigte automatische Verteilung per TR-069 verzögern. Ausdrücklich heißt es in dem Begleittext: “Für Kunden, die bereits die Beta-Version nutzen möchten, stellt die Telekom diese kostenlos zum Download bereit und weist darauf hin, dass diese Version Fehler aufweisen kann.” Das Update wurde offenbar auf Druck der Telekom beim Zulieferer Arcadyan extrem schnell programmiert. Denn die Telekom hatte nach eigenen Angaben erst durch ein Forenposting in den vergangenen Tagen von dem Fehler erfahren. Derweil melden im Internet mehrere Kunden, sie hätten das Unternehmen bereits Ende des vergangenen Jahres über die Lücke informiert.

Download

Firmware Beta 1.17.00 für den Speedport W921V

Für die beiden anderen betroffenen Modelle Speedport W 723V (Typ B) und W 504V ist bisher noch keine neue Betriebssoftware aufgetaucht. Allerdings wiegt dort der Fehler auch nicht so schwer, weil sich bei diesen Modellen WPS deaktivieren lässt.

Anleitung zum Deaktivieren des WPS

Anleitung von heise.de