In diversen Netzwerkspeichern von D-Link klaffen oder klafften 53 zum Teil kritische Sicherheitslöcher. Der Pentester Gergely Eberhardt von Search-Lab hat sie entdeckt und die Details zu den Lücken in einem 32-seitigen PDF-Dokument beschrieben. Seit fast einem Jahr versucht er den Hersteller dazu zu bringen, sie zu schließen.

Eberhardt stieß auf Schwachstellen verschiedener Gattungen. Die Authentifizierung der Web-Konsole konnte er gleich auf mehrere Weisen umgehen – indem er etwa die standardmäßig vorhandenen Accounts "nobody" und "root" nutzte, da für diese kein Passwort gesetzt war und sich auch keines setzen ließ. Bei den meisten Lücken handelt es sich um, zum Einschleusen und Ausführen von Befehlen geeigneten, Command-Injection-Lücken. Auf der langen Liste der Sicherheitsprobleme finden sich außerdem auch Buffer Overflows.

Betroffene Modelle:

• DNS-320
• DNS-320B
• DNS-320L
• DNS-320LW
• DNS-322L
• DNS-325
• DNS-327L
• DNS-345
• DNR-326
• DNR-322L
  

Einige der Lücken wurden laut Eberhardt durch halbgare Sicherheits-Patches in die Router-Firmware eingeschleust, was dem Hersteller auch schon bei zwei Router-Modellen passierte. Bezüglich der Schwachstellen steht der Pentester bereits seit Juli vergangenen Jahres mit dem Unternehmen in Kontakt. Viele der Schwachstellen wurden zumindest inzwischen beseitigt.

Um es zumindest so weit abzusichern, wie es derzeit möglich ist, sollte, wer eines der betroffenen Geräte betreibt, umgehend die jeweils aktuelle Firmware-Version einspielen. Zudem sollte darauf geachtet werden, dass das Web-Interface des Routers nicht über das Internet erreichbar ist. Weiterhin rät Eberhardt, die UPnP-Funktion abzuschalten.

(mt, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE