SMS verschicken auf fremde Kosten

[Christoph]

Eine Sicherheitslücke in einem weit verbreiteten USB-UMTS-Stick ermöglicht es Angreifern, mit einer manipulierten Webseite SMS zu verschicken. Ein Update gibt es bisher nicht.

Der Huawei E303 ist zurzeit einer der meistverkauften UMTS-Sticks für USB-Anschlüsse. Doch der E303 hat offenbar eine schwerwiegende Sicherheitslücke: Über eine sogenannte Cross-Site-Request-Forgery-Attacke (CSRF) kann ein Angreifer SMS verschicken, wenn das Opfer auf eine speziell präparierte Webseite surft.

Entdeckt hat das Problem der Sicherheitsexperte Benjamin Daniel Mussler. Mussler hatte nach eigenen Angaben Huawei bereits im Dezember 2013 auf dieses Problem hingewiesen. Zunächst erfolgte keine Reaktion. Nachdem Mussler eine Veröffentlichung der Sicherheitslücke für den 30. Mai angekündigt hatte, meldete sich Huawei wenige Tage vorher bei ihm. Behoben ist das Problem bisher noch nicht. Die Sicherheitslücke hat die ID CVE-2014-2946 erhalten.

Noch kein Update

Der E303 besitzt ein Webinterface, über welches SMS verschickt werden können. Offenbar gibt es dabei keinerlei Schutzfunktionen. Die Kosten, die für die versendeten SMS entstehen, trägt logischerweise das Opfer. Mit Hilfe des XmlHttpRequest-Protokolls können SMS auch von Dritten verschickt werden, wenn ein Anwender eine entsprechend präparierte Webseite aufruft. Damit unterscheidet sich diese Sicherheitslücke von üblichen CSRF-Sicherheitslücken, die in der Regel über GET- oder POST-Variablen ausgelöst werden. Doch auch XmlHttpRequest-Zugriffe können von Dritten über bösartige Webseiten ausgeführt werden.

Der E303-Stick bietet die Möglichkeit, über das Webinterface Firmwareupdates zu installieren. Doch zurzeit findet man auf der Huawei-Webseite kein Update für das betroffene Gerät.

Nutzer des entsprechenden Sticks können sich möglicherweise temporär mit Browserplugins oder der Sperrung des Webinterfaces helfen. Mussler hat auf seiner Webseite eine Anleitung, wie in Opera und im Internet Explorer die entsprechenden Seiten gesperrt oder der Zugriff darauf beschränkt werden können. Wenn der Zugriff auf die Pseudo-Adresse http://hi.link und auf die IP des Geräts (üblicherweise 192.168.1.1) im Browser unterbunden wird, stoppt das den Angriff. In Firefox kann man mit Hilfe der Noscript-Erweiterung den Angriff verhindern, wenn man die Funktion "Application Boundaries Enforcer" aktiviert hat. Für den Chrome-Browser gibt es offenbar keine einfache Möglichkeit, diesen Angriff zu verhindern.

Quelle: http://www.golem.de/news/huawei-sms-...06-106873.html
http://www.heise.de/newsticker/meldu...e-2214265.html