Steht uns die nächste große WiFi-Lücke ins Haus?

[PeterPawn]

FragAttacks: Security flaws in all Wi-Fi devices

We present three security design flaws in Wi-Fi and widepread implementation flaws. These can be abused to exfiltrate user data and attack local devices.

www.fragattacks.com

Bisher ist nur wenig dazu zu lesen (heise.de hat noch gar nichts) ... aber das BSI warnt inzwischen auch schon und seit einer Stunde mehren sich die Stimmen dazu. Wenn's wirklich wieder die Dimensionen von KRACK erreicht, ist das mal wieder ein schönes Beispiel dafür, warum eben eine einzelne Verteidigungslinie nicht wirklich ausreichend ist und man mit zwei, drei weiteren nie verkehrt liegt.

 

[KunterBunter]

Hier im Forum meint jemand, es wäre schon vor der Veröffentlichung von AVM behoben worden.

 

[HabNeFritzbox]

Schade, ganze scheint noch nicht in 07.26 Labor mit drinnen zu sein, soll angeblich mehr als 7590 geben.

 

[rollo]

Bei Lancom gibts schon Patches: https://www.lancom-systems.de/service-support/soforthilfe/allgemeine-sicherheitshinweise/

 

[PeterPawn]

Vielleicht ja schon im Rahmen von FragFRITZ!? Da paßt dann wenigstens schon der Name.

So ein kompletter CVE-Prozess dauert natürlich länger und "hinter den Kulissen" sind auch die ersten Patches schon länger vorbereitet und teilweise ausgeliefert. Aber wenn man auf die AVM-Seite schaut (und seit gestern wäre ja jede Vertraulichkeitsvereinbarung obsolet), findet sich da noch nichts: https://avm.de/aktuelles/ - zumal das dann wohl auch nicht nur neue Modelle (die in letzter Zeit auch neue Versionen erhalten haben) betreffen würde - ich habe aber bisher auch noch keine Zeit für gründliches Lesen der Details gehabt und nur die Zusammenfassungen überflogen.

EDIT: OK, auf der "versteckten Seite" steht dann auch bei AVM etwas dazu: https://avm.de/service/aktuelle-sicherheitshinweise/

EDIT2: Leider läßt sich auf der Labor-Seite eben nicht feststellen (oder zumindest finde ich es nicht), welche Versionen denn nun schon die Patches gegen FragAttacks haben sollen und welche nicht:

 

[HabNeFritzbox]

Das BSI informiert ja auch bereits am 12.5.

https://twitter.com/i/web/status/1392409331212210179

AVM hat auch 7.27 für 7530 veröffentlicht, damit wären immerhin schon 2 Modelle gefixt.

 

[kleinkariert]

"Hier" linkt auf https://www.deskmodder.de/blog/2021...fft-alle-wifi-geraete-router-smartphones-etc/, wobei die richtigen Infos erst bei den Links unten kommen.

Mathy Vanhoef, auf den immer wieder gelinkt wird, hat ein schön verständliches Video gemacht für jene, denen die Papers zu trocken sind:

Was das BSI dazu herausgegeben hat: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2021/2021-216748-1032.pdf

 

[KunterBunter]

(heise.de hat noch gar nichts)

15 Minuten später hat man dich mit einem Alert! erhört.

 

[PeterPawn]

Der Hr. Schmidt wird sicherlich auch erst mal gelesen haben, bevor er den Artikel dann schrieb. Die Website fragattacks.com ging irgendwann gestern (ca. 21 Uhr MESZ) online - das BSI schreibt ja sogar, daß man in den Prozess der Offenlegung und Behebung gar nicht eingebunden wurde (was auch wieder verwunderlich ist, weil die CERTs eigentlich untereinander kommunizieren sollten).