schnellst möglichst … warum [erst] jetzt
AVM hat eine intransparente Politik, wie sie Sicherheitslücken einstufen. Ich habe denen auch schon (nach meinen eigenen Berechnungen) CVSS3-High gemeldet. Und AVM korrigiert mich nicht, erklärt mir deren Sichtweise nicht, sondern tut das als Beipack-Security-Update ab. Informiert wird man auch nicht, jedenfalls ich nicht. Man darf bei jedem Release diese „Change-Logs“ wälzen. Alles andere als schön. Ich, naja Andere, haben wirklich Besseres zu tun, als jedes Release auf einen gemeldeten Security-Bug hin nachzutesten.
In diesem Fall hat AVM
vermutlich einen Bock bei den inkludierten Trust-Anchor geschossen, also so TLS-Zertifikat-Ausgabestellen wie DigiCert, Let’sEncrypt und Sectigo. Weil diese Trust-Anchor bei AVM nicht einsehbar oder verwaltbar sind – was alleine schon ein Bock ist – müsste man die Firmware vor und nach dem Update auseinander nehmen und die Trust-Anchor vergleichen. Vielleicht kann das ja jemand von unseren Firmware-Kracks hier machen. Vermutlich hätte AVM zu viele Support-Anfragen bekommen, wenn es so geblieben wäre, weil irgendwas nicht mehr geht (Let’s Encrypt abgesicherte Dynamic-DNS oder sonst was).
Nebenbei hat AVM dann Sicherheitslücken
ab einer bestimmten Sicherheits-Einstufen geschlossen, daher kam dann die Schließung für
FragAttack, also ein Beipack-Security-Update.
Alles reine Spekulation und Vermutungen. Auch habe ich die neue Firmware noch nicht auf „meine“ Schwachstelle getestet. Könnte nämlich glatt sein, dass die so nebenbei auch gefixt wurde und vielleicht zu „niedrig“ war, um überhaupt erwähnt zu werden. Die war nämlich echt Kindergarten, der Angriff seit über 15 Jahren bekannt.
AVM fixt zwar seine Produkte ewig lange. Und AVM hört zwar auch zu. Aber wirklich mit Security-Bugs „umgehen“, nenne ich das nicht. Warum man Holger hier so auf die Mütze geben muss, anstatt das einfach lieb die Zusammenhänge zu erklären … verstehe ich auch nicht. AVM versorgt auch ältere FRITZ!OS-Versionen (Software-
Branches) mit Security- und Kompatibilitätsupdates. Aber eben nur bei einer von Außen nicht nachvollziehbaren Klassifizierung. Auch vieler meiner gemeldeten Software-Bugs bezüglich der Kompatibilität (in der Telefonie) werden nicht ge-back-ported. Auch solche Fehler in denen man einfach mal kurzzeitig nicht erreichbar ist, ohne es zu merken. Meckert ja keiner?
Holger, um eine Deine Frage einzugehen: Der Auslöser für die aktuelle „Welle“ muss keine Sicherheitslücke gewesen sein. Es kann auch ein Kompatibiltätsupdate gewesen sein. AVM hat bei einigen Modelle auch einfach Funktionen rausgerissen, die gar nicht bzw. teilweise nicht mehr gingen (siehe
FRITZ!Box 7362 SL …). Daher ist eine Beantwortung Deiner Frage schwer. Vor jener Welle heute waren FRITZ!OS bis in den Software-Branch 06.3x aktuell, also jene Welle im Sommer 2019, siehe
Router-FAQ. Aber auch dann nicht alle FRITZ!Box-Produkte des Software-Branchs. Also nur Auserwählte. Die Frage ist, ob die aktuelle Welle weitergeht oder überhaupt weitergehen muss. Wäre sie „nur“ ein Kompatibilitätsupdate mit Beipack-Security-Update, dann bestünde für AVM außer für Volumen-Modelle kein großer Zwang, also auch kein Grund die FRITZ!Box 7390 oder gar ältere FRITZ!OS-Branches wie 06.5x und 06.3x zu versorgen.
