Huawei lässt Sicherheitslücken in seinen Routern ungepatcht

Die betroffenen 14 Modelle haben das Ende ihres Lebenszyklus erreicht. Dem Sicherheitsforscher Pierre Kim zufolge geben Internet-Service-Provider in Europa und Afrika das Gerät weiterhin an ihre Kunden aus. Darunter sind auch zwei Anbieter in Deutschland und einer in Österreich.

Der Sicherheitsforscher Pierre Kim hat Details zu Sicherheitslücken in einem Router von Huawei veröffentlicht, der von Internet-Providern in Europa und Afrika an ihren Kunden verteilt wird. Das chinesische Unternehmen hatte ihm zuvor mitgeteilt, es beabsichtige nicht, die Schwachstellen zu beseitigen, da die Geräte nicht mehr unterstützt würden.

Huawei Logo (Bild: Huawei)Die Anfälligkeit entdeckte Kim im Huawei-Router B260A, der eine Internetverbindung über UMTS herstellt und per LAN oder WLAN anderen Geräten wie PCs, Laptops und Mobiltelefonen zur Verfügung stellt. Die fehlerhafte Firmwareversion 846.11.15.08.115 vom 20. Februar 2013, für die es kein Update gebe, verwende Huawei für insgesamt 14 Modelle. Sie seien wahrscheinlich ebenfalls angreifbar.

Die Schwachstelle erlaubt es einem Angreifer, aus der Ferne die Kontrolle über den Router zu übernehmen, um beispielsweise per Cross Site Request Forgery DNS-Einstellungen zu manipulieren. Ein von Huawei entwickeltes und von Tunisia Telecom bereitgestelltes Tool erlaube es zudem, auch ohne Authentifizierung eine neue Firmware zu installieren. Nach dem Update könne man sich mit dem voreingestellten Administrator-Passwort „admin“ über die Weboberfläche anmelden und per Telnet eine Root-Shell öffnen.

Nach Recherchen von Kim werden Router mit der anfälligen Firmware noch von ISPs in Argentinien, Armenien, Brasilien, Chile, Dänemark, Deutschland (E-Plus und Tele2), Ecuador, Estland, Guatemala, Jamaica, Kenia, Kroatien, Mali, Mexiko, Niger, Österreich (H3G), Portugal, Rumänien, Schweden, Slowakei und Tunesien eingesetzt.

HIGHLIGHT

Wie Samsung Knox das S6 und S6 Edge mit My Knox sicherer macht

Android-Smartphones werden immer häufiger auch in Unternehmen genutzt. Das ist auch einer der Gründe, warum Samsung seine Geräte besonders absichern will. Mit der Zusatzumgebung „Knox“ lassen sich Container im Betriebssystem des Smartphones erstellen und die private Daten von geschäftlichen trennen.

Seinem Blogeintrag zufolge sind Kim die Sicherheitslücken schon seit August bekannt. Huawei habe die Schwachstellen am 25. des Monats bestätigt und ihn kurz darauf darüber informiert, dass es keinen Fix bereitstellen werde. Stattdessen habe Huawei auf die nicht anfälligen Modelle B68L und B310 verwiesen. Auf seine Nachfrage, ob die anderen 13 Modelle auch angreifbar seien, habe Huawei lediglich erklärt, dass auch sie nicht mehr unterstützt würden.

Sicherheitslücken stecken auch in Routern anderer Hersteller. Im Mai hatte der Sicherheitsspezialist Kafeine ein Router-Exploit-Kit entdeckt, dass 55 Routermodelle von Asus, Belkin, D-Link, Edimax, Linksys, Netgear, Trendnet und Zyxel angriff.

Schon 2012 hatte der deutschen Sicherheitsforscher Felix „FX“ Lindner in der Diskussion um eventuelle Hintertüren in Huawei-Produkten erklärt, solche brauche es nicht, diese Netzwerkgeräte seien ohnehin voller Fehler. Um Kommunikation über diese Router zu belauschen, benötige man keine Hintertür. Huawei bat Lindner später bei der Fehlersuche um Hilfe.

Huawei wird – etwa in Australien und den USA – eine enge Verbindung zur chinesischen Regierung vorgeworfen. Dagegen ist es dem Konzern gelungen, etwa in Großbritannien Aufträge großer Provider zu gewinnen. Huawei betrieb dort einen enormen Aufwand und investierte 15 Millionen Euro: Er richtete nicht nur eine Niederlassung ein, sondern schuf auch ein Testzentrum, wo Kritiker die Sicherheit der Produkte erproben können.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: 3G, Huawei, Netzwerk, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Stefan Beiersmann
Autor: Stefan Beiersmann
Freier Mitarbeiter
Stefan Beiersmann
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Huawei lässt Sicherheitslücken in seinen Routern ungepatcht

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *