Kritische Sicherheitslücken in Huawei-Routern

IT-Experten der FH St. Pölten warnen vor kritischen Sicherheitslücken bei Router-Modellen des Typs Huawei b593 und empfehlen ein Firmware-Update. [...]

Detaillierte technische Informationen zu den Sicherheitslücken:

Produkte: Huawei b593u-12, Huawei b593s-22
Betroffene Firmware Versionen: V100R001C55SP102, V200R001B180D10SP00C801

Login ist anfällig gegenüber XSRF und Standard Benutzern
Es existiert ein Default Account, mit dem es möglich ist, sich im Webinterface anzumelden. Je nach Firmware-Version verfügt dieser Account über unterschiedliche Rechte, mit denen es möglich ist auf Konfigurationsdaten zuzugreifen. In der Firmware-Version V100R001C55SP102 ist es nicht möglich, das Passwort des Accounts zu ändern. Der Angriff kann vom Internet aus mittels eines XSRF-Angriffs durchgeführt werden.

Login-Formular ist anfällig gegenüber einer Replay-Attacke
Der Login für das Webinterface ist gegenüber einer Replay-Attacke anfällig. Angreifer im lokalen Netz können die verschlüsselten Logindaten aufzeichnen und erneut an den Router senden, um sich anzumelden.

Cross Site Request Forgery (XSRF) im Web Interface
Die Formulare des Web Interfaces besitzen keinen XSRF-Token oder vergleichbare Maßnahmen zum Schutz vor XSRF-Angriffen. Dieser Angriff kann, ohne Interaktion lokaler Anwender, über das Internet ausgeführt werden. In Verbindung mit den Default Accounts ist es nicht notwendig, angemeldet zu sein.

Cross Site Scripting (XSS) im Web Interface
Mehrere Ausgaben im Web Interface sind gegenüber XSS-Angriffen anfällig. In Verbindung mit den Default Accounts und den XSRF-Lücken ist es möglich, einen automatisierten Angriff durchzuführen, der keine Interaktion durch Anwender erfordert.

OS Command Injection im Web Interface
Der Router besitzt mehrere Tools, wie Ping oder Traceroute, mit denen es möglich ist, den Netzwerkstatus zu überprüfen. Diese Tools sind gegenüber einer OS Command Injection anfällig. Auf diese Weise können beliebige Programme auf dem Router ausgeführt werden bzw. Dateien erstellt oder bearbeitet werden.