potenzielles Sicherheitsproblem bei HTTPS zugriff über IP/DynDNS

Hallo zusammen,

ich hab mich grad das erste mal auf meine 7390 von außen einklingt, seit ich das LCR von Telefonsprarbuch auf der Box am laufen hab.

Der LCR ist richtig geil. *g* Ein dank dem Programmierer!

Aber...

Also box aufgerufen, und siehe da, mann kann direkt in den LCR einsteien. ok. denke, ich, probier ich mal. Oh schreck, alles ungeschützt, keine PW abfragen usw.

OK, gleich mal das Passwort aktiviert, ohne session cookies. Wir nutzen wegen NAS und SMB Shares die Username/Passwort login Matrix von AMV.

Bei Zugriff über DynDNS dienste oder via IP zur Fritzbox muss mann an der Box den Username von Hand eingeben. Im LCR erscheint jedoch das dropdown menue von der AMV internen Anmeldung.

Das finde ich SEHR bedenlich, da dem Angreifer nun schon mal 50% der Infos bereit stehen.

Was aber noch viel schlimmer ist, es gibt keine blockierte Zeit für einen erneuten Login versuch. d.h. brutforce is wellcome!

Gibts da einen patch um das zu ändern? Ich hab nix gefunden, was mich jetzt schwer wundert, ihr seid hier doch sonst auf Zack, aber evenutell hab ich auch einfach nur falsch gesucht.

Wenns da nix gibt, muss ich das LCR schnellstens entfernen.

Gerne stell ich einem "erfahrenen" User hier oder dem Urheber des LCRs einen dyn-zugang zu meiner box bereit um sich das life anzusehen.

Danke
Gruß
Mannebk

ok, durch die Suche hab ichs zwar nicht gefunden, aber mit lesen bin ich weiter gekommen *g*

komisch, kaum macht mans richtig, schon wird man fündig

Ich entschuldige mich für den Doppelpost.

Trozdem möchte ich nochmals darauf hinweisen, das das zumindest für mich ein wirklich brisantes thema ist.

Grundsätzlich sollten die LCR daten nicht verfügbarsein, wenn der login von einer externen IP kommt, interne ja. IP Filter wäre auch noch nett.

Wenn ich schon von extern drauf muss, kann man immer noch nen isec tunnel auf die box aufmachen und dann "von ex-intern" sich den LCR ansehen.

Gruß
Manne
der auf ein baldiges UPDATE hofft, er spendet ja schließlich auch ein paar euros und verwendet keine geklaute demo oder so was.