15.12.2014

Akute Sicherheitslücken bei Easy-Box-Routern von Vodafone

Die von Vodafone vertriebenen Easy-Box-Router weisen große Sicherheitslücken auf. So lassen sie sich mit nur einer Android-App knacken. Das WPA-Passwort oder die aktuelle Firmware helfen da nicht weiter. Wer sich als Nutzer schützen will, muss selbst aktiv werden.

Einige Modellreihen der Easy Box sind leicht angreifbar

Die Easy-Box-Router von Vodafone lassen sich in Sekundenschnelle knacken. Dies zeigt eine Analyse von heise Security. Das Problem ist bereits seit Jahren bekannt. Doch seitens Vodafones kam bisher wenig Produktives, um dies zu ändern. Nach Schätzungen von heise.de sind mehrere hunderttausend Netze betroffen. Wer sich schützen will, muss selbst etwas tun.

Durch eine Lücke können Hacker das WLAN-Passwort der Easy Box herausfinden und sich so ungehindert Zugriff auf den Router und das Heimnetzwerk verschaffen. Das gelingt mitunter sogar, wenn das Passwort vom Nutzer geändert wurde. Betroffen sind die Modellreihen 300, 400, 600 und 800 mit Produktionsdatum bis August 2011.

Vodafone versucht Sicherheitslücke zu schließen

Auch die aktuelle Firmware für diese Geräte schafft keine Abhilfe. „Einmal im Heimnetz eingeloggt, gelangt ein Angreifer mit dem Standard-Account oftmals auch in das Router-Konfigurationsmenü. Damit stehen weiteren Angriffen Tür und Tor offen“, heißt es auf heise.de.

Im Jahr 2013 hat Vodafone versucht, das Problem durch ein Firmware-Update zu lösen. Daraufhin ließen sich Angriffe mit den öffentlich verfügbaren Algorithmen tatsächlich nicht mehr durchführen. Aber: Es genügte eine kleine Anpassung, um auch die abgesicherte Firmware anzugreifen.

Nutzer müssen selbst aktiv werden

Heise.de rät Kunden, selbst aktiv zu werden, um sich zu schützen. Zuerst einmal sollte sowohl das voreingestellte WPA-Passwort als auch die WPS-PIN geändert werden. Zudem wird empfohlen, auch die SSID zu ändern und WPS gänzlich zu deaktivieren. Dadurch werden Angriffe weiter erschwert.

Laut Vodafone gäbe es nur noch "sehr wenige Kunden, die das Passwort trotz mehrfacher Aufforderung/Erinnerung bisher nicht geändert" haben. Heise.de sieht das anders: „Unseren Stichproben zufolge nutzen noch etwa ein Drittel der Vodafone-Kunden die betroffenen EasyBox-Reihen und Hacker berichten glaubhaft, dass davon ein signifikanter Teil immer noch angreifbar sei. Bei etwa drei Millionen Vodafone-DSL-Kunden sind also potenziell bis zu einer Million Anschlüsse betroffen; realistisch sind mehrere hunderttausend Netze weitgehend ungeschützt.“

Autor: ES