Kritische Sicherheitslücke in Routern von Vodafone/Kabel Deutschland

Wer einen Kabelanschluß von Vodafone (Kabel Deutschland) besitzt, hat aller Wahrscheinlichkeit ein Sicherheitsproblem, da sich Angreifer von außen Zugriff auf das WLAN verschaffen könnten. Grund ist eine Lücke in den (Zwangs-)Routern Compal Broadband Networks (CBN) und Hitron, beides Modelle, die den meisten Kabel-Deutschland-Kunden gestellt werden.

Vodafone hat zwar verkündet, hierfür Firmware Updates zu verteilen, das kann sich aber bis Jahresende hinziehen. Da dieses Sicherheitsproblem gut dokumentiert und somit mit Angriffen zu rechnen ist, sollten Betroffene diesen Artikel aufmerksam lesen, und die am Ende vorgeschlagenen Umgehungslösungen beherzigen:

Kunden mit CBN-Routern können selbst aktiv werden, indem sie das anfällige WPS-Verfahren im Web-Interface deaktivieren (Gateway / WLAN / WPS). Beim CVE-30360 hilft laut Vodafone das Aktivieren der Push-Button-Methode (PBC).

Ich selber habe schon seit Jahren diese (im gleichen Artikel vorgesschlagene) Lösung genutzt (bei mir ist ein Apple Airport Extreme für das WLAN zuständig):

Wer auf Nummer sicher gehen will, verzichtet auf die WLAN-Option und betreibt hinter der Provider-Hardware einen eigenen Access-Point – das spart langfristig auch noch Geld.

Allerdings hat mir Kabel Deutschland ein Motorola-(Zwangs-)Modem hingestellt. Daher bin ich vermutlich gar nicht betroffen.

Der Vorgang zeigt aber auch, das es höchste Zeit ist, dem Unsinn mit den Zwangsroutern endlich ein Ende zu machen und keine weiteren Lobby-Spielchen im Bundesrat zu betreiben.

(Mein persönlicher CERT per Email.)

(Kommentieren)