ACHTUNG: Sicherheitsproblem (gefunden unter aktuelle BETA 84.05.09-21499, FB 7390)

[ezbyiv]

Hallo,

habe die BETA 84.05.09-21499 auf meiner 7390.

Wer auf seinem USB-Port Daten hat, die nicht an die Öffentlichkeit dürfen, der sollte die Fernwartung DEaktivieren!

In diese Firmware wurden Teile von myFritz eingeplegt,
jedoch ist die Authentifizierung nicht durchgängig.
So ist es möglich, die letzen Teile der Anrufliste anzusehen, die Anzahl der nicht gelöschten Sprachnachrichten zu lesen und vor allem die NAS-Liste Einzulesen.

Aufrufen der eigentlichen Dateien war mir bisher zum Glück noch nicht möglich.
Des weiteren zeigt die Box nach meinen bisherigen Erkenntnissen nur die Namen der Teilnehmer an, keine Nummern.


AVM wurde von mir soeben per Kontaktformular benachrichtigt.



Mal hoffen, dass am myFritz schnellstmöglich gearbeitet wird, sonst gibt das noch ein großes Problem...



Wie gesagt, wer Prekäre Daten (vielleicht sogar die Eseldonwloads auf der USB-Platte =( ) an die Box gelemmt hat sollte schnellstmöglich die Fernwartung deaktivieren!




Edit: habe keine Kategeorie für Firmware gefunden, deshalb leider unter AVM-Software

Edit2:[SIZE=2pt]KunterBunter[/SIZE] hatte einen kleinen aber bösen Fehler bemerkt, Editiert. DANKE

 

[informerex]

hast du mal den direkten/internen Link für myFritz in der Fritz!Box
(lt. https://myfritz.net/ - Sie sind noch nicht für MyFRITZ! angemeldet? Über die FRITZ!Box-Benutzeroberfläche ist die Anmeldung unter >Internet >Freigaben >MyFRITZ! jederzeit möglich.)

möchte mal schauen, ob es in der 6360 Firmware schon vorhanden, aber noch nicht aktiv ist.
Thx

//edit:
Danke Hanzz, leider noch nicht vorhanden/aktiv:

Luacgi not readable filename=/internet/myfritz.lua real_filename=/usr/www/kabelbw//internet/myfritz.lua

 

[Hanzz]

@informerex: fritz.box/internet/myfritz.lua

 

[RalfFriedl]

Bei mir kommt für https://myfritz.net/ ein SSL-Zertifikat, das auf localhost ausgestellt ist. IP-Adresse ist 212.42.244.100.

Ist dahinter tatsächlich eine Seite von AVM mit so einem Zertifikat?

 

[KunterBunter]

Die IP-Adresse gehört schon mal AVM.

 

[ezbyiv]

Ich finde zwar die Seite zum Aktivieren (http://fritz.box/internet/myfritz.lua) , kann aber auf übernehmen klicken wie ich will - ich komme bei meiner Gerätekonfiguration auf der gleichen Seite wieder raus ohne angekreuztes Kästchen.

Und an dem Sicherheitsproblem lässt sich leider auch nichts damit ändern :<
Scheint wohl tatsächlich eine Zeile in der .htaccess Falsch geschrieben zu sein, die anstatt der 401 Unauthorized die Daten der myfritz ausgibt :/