[Christoph]

D-Link-Updates sollen ASCII-Voyeure aussperren

Der Netzwerkausrüster D-Link hat sicherheitsrelevante Firmware-Update für fünf seiner Router und sieben Netzwerkkameras herausgegeben. Während die behobenen Router-Lücken stark an bereits zuvor geschlossene Schwachstellen in anderen Modellen erinnern, lauert bei Kameras eine skurrile Überraschung: Der unbefugte Beobachter konnte den Kamera-Stream nicht nur als Videostream abgreifen, sondern auch als ASCII-Art.

Entdeckt wurden die Schwachstellen in den Netzwerkkameras von Core Security. In Ihrem Advisory schildern die Sicherheitsexperten, dass ein Angreifer auf vielfältige Art und Weise ohne Authentifizierung auf den Kamerastream zugreifen kann. Entweder als HTTP- oder RTSP-Stream oder auch als ASCII-Animation. Letzteres kommt dadurch zustande, dass die Kameras Belichtungswerte ungeschützt über das Skript lums.cgi ausgeben. Außerdem kann man Befehle über das Webinterface der Kamera einschleusen. Und dann gibt es auch noch fest in die Firmware eingegossene Zugangsdaten – eine Backdoor.

Core Security hat D-Link nach eigenen Angaben Mitte März über die Sicherheitsprobleme informiert. Laut D-Link adressieren die gerade veröffentlichten Update sämtliche der im Advisory angegebenen Schwachstellen in allen Modellen, die hierzulande verkauft werden oder wurden. Im Detail sind das:

DCS-942L
DCS-1130
DCS-2121
DCS-3430
DCS-5222L
DCS-5605
DCS-7510

Darüber hinaus gibt es sicherheitsrelevante Firmware-Update für die folgenden Router:

DIR-815 (Hardware-Revision A)
DIR-845L (Hardware-Revision A)
DIR-865L (Hardware-Revision A)
DSL-320B (Hardware-Revision D2)
DSL-321B (Hardware-Revision D2)

Quelle: http://www.heise.de/newsticker/meldu...n-1855325.html
http://www.golem.de/news/security-d-...305-99117.html