Netgear hinterlässt private Schlüssel in Router-Firmware
Quelle: Netgear

Netgear hinterlässt private Schlüssel in Router-Firmware

Netgear hat in seiner Router-Firmware private Schlüssel hinterlegt, die zum Abfangen und Manipulieren von sicheren Verbindungen zu den webbasierten Verwaltungsschnittstellen der Geräte verwendet werden können.
21. Januar 2020

     

In der Firmware des WLAN-Routers R9000 wurden zwei gültige Zertifikate sowie private Schlüssel gefunden. Zwei Sicherheitsforscher haben diese nun nach nicht einmal einer Woche nach Entdeckung selbst auf Github veröffentlicht – wohl auch aus Frustration über den Umgang mit Sicherheitslücken durch Netgear, wie "Golem" berichtet.

Insbesondere wurden gültige, signierte TLS-Zertifikate mit privaten Schlüsseln in die Software eingebettet, die von jedermann heruntergeladen werden konnten. Diese Daten können zur Erstellung von HTTPS-Zertifikaten verwendet werden, und sie können bei missbräuchlichen Angriffen benutzt werden, um verschlüsselte Verbindungen zum webbasierten Interface des Routers zu belauschen und zu verändern.


"Diese Zertifikate werden von Browsern auf allen Plattformen als vertrauenswürdig eingestuft, werden aber sicherlich in Kürze in die Sperrlisten aufgenommen", so Starke und Pohl. "Die Firmware-Images, die diese Zertifikate zusammen mit ihren privaten Schlüsseln enthielten, waren öffentlich und ohne Authentifizierung über die Support-Website von Netgear zum Herunterladen verfügbar; somit hätte jeder auf der Welt diese Schlüssel abrufen können".

Im konkreten Fall sei die praktische Durchführbarkeit eines solchen Angriffes zwar eher gering, twittert Mozilla-Entwickler Adam Roach. Dennoch sei es generell nicht empfehlenswert, dem Zertifikat noch zu vertrauen, da nun der private Schlüssel dafür bekannt sei. Die CA, die das Zertifikat ausgestellt hat, wird dieses wohl ausserdem in Kürze zurückziehen.

Die Sicherheitsexperten Nick Starke und Tom Pohl fanden das Material am 14. Januar und gaben ihre Ergebnisse fünf Tage später öffentlich bekannt. Es wird erwartet, dass Besitzer von Netgear-Ausrüstungen bei der Konfiguration ihrer Ausrüstung https://routerlogin.net oder https://routerlogin.com besuchen. Der Router des Netzwerks versucht sicherzustellen, dass diese Domainnamen zur IP-Adresse des Geräts im lokalen Netzwerk aufgelöst werden. Anstatt also 192.168.1.1 oder ähnliches eingeben zu müssen, können sie einfach diesen einprägsamen Domänennamen verwenden. Um eine HTTPS-Verbindung herzustellen und Beschwerden von Browsern über die Verwendung unsicherer HTTP- und nicht vertrauenswürdiger Zertifikate zu vermeiden, muss der Router ein gültiges HTTPS-Zertifikat für routerlogin.net oder routerlogin.com erstellen, dem die Browser vertrauen. Netgear reagierte bislang nicht auf den Bericht. (swe)


Weitere Artikel zum Thema

Patch Tuesday: Vier kritische Lücken in Windows-Systemen geschlossen

21. Januar 2020 - Am Microsoft Patch Tuesday werden vier kritische Sicherheitslücken geschlossen, die besonders RDP-Verbindungen auf Windows Clients und Servern betreffen. Die Updates sollten schnellstmöglich eingespielt werden.

Rekord-Patchday bei Oracle

17. Januar 2020 - An Oracles erstem Patch-Tag im neuen Jahr veröffentlicht der Technologiekonzern Updates für 94 verschiedene Produkte, mit denen insgesamt 334 sicherheitsrelevante Schwachstellen ausgemerzt werden.

CES: Neue KMU-Produkte von Netgear

10. Januar 2019 - Der Netzwerk- und Speicheranbieter Netgear richtet sich an der CES auch an kleine und mittlere Unternehmen. Zu den Neuheiten gehören eine Smart-Managed-Switch-Serie, ein Decken-Satellit für das Mesh-WLAN Orbi Pro, ein Tri-Band Access-Point und ein Hochleistungs-Wi-Fi-Router.

VPNFilter Malware nistet auf 500'000 Routern weltweit

7. Juni 2018 - Cisco hat ein Botnetz mit einer halben Million Routern aufgedeckt, die von der IoT-Malware VPNFilter infiziert sind. Router zahlreicher Hersteller sind dabei betroffen – unter anderem Linksys, Netgear, TP-Link, Asus und Huawei.


Artikel kommentieren
Kommentare werden vor der Freischaltung durch die Redaktion geprüft.

Anti-Spam-Frage: Vor wem mussten die sieben Geisslein aufpassen?
GOLD SPONSOREN
SPONSOREN & PARTNER