|
Router Firmware DD WRT enthaelt Root Luecke
Veröffentlicht am Thursday, 23.July 2009 von Redaktion Es wurde festgestellt, dass bei der Router-Firmware DD-WRT v24-SP1 in der Verwaltungsoberfläche eine Sicherheitslücke besteht. Durch die Lücke besteht für Angreifer die Möglichkeit Programme mit Root Rechten auf dem Router auszuführen. Es heißt, dass der Fehler im DD-WRTs Webserver zu finden ist. Viele Nutzer von Routern von Linksys, D-Link oder auch anderen Firmen installieren, um mehr Funktionen als durch die Standardfirmware zu erhalten, DD-WRT als alternative Firmware. Die Schwachstelle soll auf einer fehlenden Behandlung von Metazeichen beim Query-String in DD-WRTs Webserver httpd zurück zuführen sein. Vermutlich durch eine fehlende Metazeichenbehandlung im Webserver von DD-WRT lässt sich so ein Kommando an den Router übergeben. Potentielle Angreifer können das Gerät unter ihre Kontrolle bringen, indem sie auf dem System vorhandene Befehle beziehungsweise Programme manipulieren und so dann an die Root-Rechten auf dem Gerät gelangen. Um das zu erreichen brauchen sie lediglich eine URL wie zum Beispiel http://routerIP/cgi-bin/;command_to_execute auf dem System eingeben. Die Web-Interface bei DD-WRT erreicht der Nutzer zwar standardmäßig nur über die LAN-Schnittstellen, es besteht allerdings die Möglichkeit diese Einschränkung mit einer Cross-Site Request Forgery Attacke, kurz : CSRF-Attacke, zu umgehen. Das ist kein großes Problem, da für die Lücke keine Anmeldung auf dem Webserver benötigt wird. Um einen fremden Router unter seine Kontrolle zu bekommen, benötigt ein potentieller Angreifer lediglich einen manipulierter IMG-Tag in einem Forum. Von Sebastian Gottschall dem Entwickler bei DD-WRT wird erklärt, dass bereits die überarbeitet Firmware-Version DD-WRT V24 preSP2 zum Download bereit steht. letzten News 
Bankkunden werden am eigenen PC via Webcam ausspioniert
Norton 2013er Versionen stehen als Betaversion bereit
Neue Phishing Mails locken mit Steuererstattung
Trojaner Tatanga hat Bankkunden im Visier
Angriff seitens Anonymous auf US-JustizministeriumKommentar: |  |
|
||||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||
