Fritzbox-Mediaserver verrät Geheimnisse

[Christoph]

Die Router der Fritzbox-Reihe von AVM bringen einen Medienserver mit, der Musik, Videos und Bilder an UPnP-Geräte im lokalen Netzwerk liefert. Doch der stellt auch andere Dateien bereit – unter anderem Konfigurationsdateien, die je nach Modell sogar Passwörter enthalten. Die einfachste Abhilfe ist, den Medienserver zu deaktivieren. Wer seine Medien unbedingt von der Box beziehen möchte, sollte die Freigabe des internen Speichers abschalten und für USB-Medien die Freigabe auf die Ordner mit Mediendateien beschränken. Kurz nachdem heise Netze den Hersteller AVM auf den Fehler aufmerksam machte, hat dieser ein Firmware-Update bereitgestellt. Bisher gibt es korrigierte Beta-Versionen (bei AVM Labor genannt) für die Modelle 7390 und 7270.

Der Fehler steckt zwar in der UPnP-Software, betrifft aber nicht direkt dieses Protokoll. Denn der Server gibt per UPnP nur eine Liste der Mediendateien heraus. Für den Abruf der darin verzeichneten Medien enthält er zusätzlich einen http-Server auf einem anderen Port, in dem der Fehler steckt: Er liefert nicht nur die Medien aus der UPnP-Liste aus, sondern allerhand andere Dateien, sofern man bei der Abfrage den richtigen Pfad angibt. Dazu gehören auch Konfigurationsdateien, die bei einigen Fritzbox-Modellen sicherheitsrelevante Daten wie das WLAN-Passwort im Klartext enthalten. Für den Abruf ist kein Passwort erforderlich. Der Server bedient zwar nur Stationen im lokalen Netzwerk. Doch per Cross-Site-Scripting kann ein externer Angreifer wahrscheinlich den Browser dazu bringen, die Daten weiterzugeben. (je)

Quelle: http://www.heise.de/newsticker/meldu...e-1581132.html