Ich will's nur noch mal "aufschreiben", weil es sich auch für 07.01 nicht wirklich geändert hat:
------------------------------------------------------------------------------------------------------------
Jede x-beliebige Datei, die sich auf einem für den Media-Server der FRITZ!Box freigegebenen Datenträger befindet, kann immer noch im LAN ohne jegliche Authentifizierung von der FRITZ!Box gelesen werden und auch die Index-Datenbanken, in denen die Namen aller Dateien auf einem solchen Datenträger verzeichnet sind, kann man nach wie vor problemlos (und ohne irgendwelche Benutzer und/oder Passwörter zu kennen) von der FRITZ!Box erhalten.
An der hier:
https://www.ip-phone-forum.de/threa...ie-er-dir-in-den-rücken-fallen-könnte.288570/ geschilderten Situation hat sich also nichts geändert. Der Media-Server wird offensichtlich auch immer noch automatisch gestartet, selbst wenn sich die Box noch in den Werkseinstellungen befindet (getestet mit 153.07.01, sollte bei 113.07.01 nicht anders sein und bei der habe ich die Zugriffe auf die SQLite-DB und den Download beliebiger Dateien getestet) und die Tatsache, daß der Index-Dienst nicht mehr automatisch ausgeführt wird, schützt die Dateien auf bereits indizierten Volumes auch nicht davor, daß da jeder (wenn auch nur lesend) zugreifen kann - mal ganz abgesehen davon, daß früher oder später ja auch mal neu indiziert würde.
Da auch der "Standard-Pfad" für den Media-Server sich nicht geändert hat und das immer noch "alle verfügbaren Volumes" betrifft, kann man sich die Einrichtung irgendwelcher Benutzer und Rechte für das Lesen von Dateien auf den USB-Speichern an der FRITZ!Box weiterhin schenken - nur ein Überschreiben ist halt über den Media-Server nicht möglich, dafür braucht man (quasi als Ausgleich) aber gar keine Credentials, um den Datenträger Datei für Datei auszulesen.
Wer den Media-Server also nicht wirklich braucht und/oder auf USB-Speichern an der FRITZ!Box Dateien hat, von denen er nicht unbedingt möchte, daß die wirklich jeder im LAN lesen kann (und dazu gehören auch IoT-Gadgets mit Malware oder ähnliche Geräte), der sollte dringend die Einstellungen des Media-Servers überprüfen ... auch bzw. gerade dann, wenn er die Box "von Grund auf" neu eingerichtet hat.
Ich verstehe es einfach nicht, warum AVM hier die Klippschule für Administratoren ignoriert, die da besagt, daß man nur die Dienste startet, die auch wirklich gebraucht werden. Wenn man tatsächlich "Angst" hat, die Aktivierung des Servers "bei Bedarf" (aka "on demand") könnte zu kompliziert für FRITZ!Box-Besitzer sein, sollte man zumindest die Information über die damit verbundenen Probleme in den Start-Assistenten aufnehmen und auch bei der "Sicherheitsdiagnose" diesen Service einfach mal einbeziehen.
------------------------------------------------------------------------------------------------------------
Aber beim "BPjM-Modul" hat AVM es inzwischen immerhin geschafft, die Datei "bpjm.data" aus den Verzeichnislisten für Samba- und FTP-Zugriffe auszublenden (weil diese die "libavmacl2.so" verwenden und dort diese Datei explizit gesperrt wurde), jedoch kann man über die FRITZ!NAS-Funktionen diese Datei nach wie vor noch "sehen". Immerhin schlägt auch hier zumindest der Versuch fehl, sie auf diesem Weg auch zu laden ... da kommt dann wieder die "libavmacl2.so" ins Spiel - was aber für die "Anzeige" in der Liste keine Rolle spielt.
