Sicherheitslücke in UPC-Netz gefährdete WLAN-Passwörter

18. Juli 2015, 09:43
83 Postings

Behebung dauerte mehrere Wochen, keine Information an Kunden – Provider sieht "keinen Hinweis" auf Missbrauch

Anfang März entdeckte ein Nutzer der über das Kabelnetz angebotenen Internetdienste von UPC Austria eine Sicherheitslücke in eben jenem Netz. Obwohl die Schwachstelle potenziell ermöglichte, WLAN-Passwörter anderer Nutzer einzusehen und ihre Internetverbindung missbräuchlich zu verwenden, dauerte die Behebung mehrere Wochen. Und auch die Kommunikation lief nicht gerade optimal.

Einrichtung von "bösem Hotspot" denkbar

Doch von vorne: Das Leck erlaubte es technisch versierteren Hackern, verschiedene Kabelmodem-Modelle von Thomson und Technicolor zu übernehmen. Möglich war dies über eine Schwachstelle in der Firmware der Geräte, die schon länger bekannt ist. Ein Exploit ist etwa im Falle des Technicolor TC7200 zumindest seit Februar bekannt.

Neben dem Auslesen von WLAN-Namen und Passwort wäre es über den Fernzugriff auch möglich gewesen, die Einstellungen der Geräte zu ändern. Denn oft belassen die Nutzer die Login-Daten für die Administrationsoberfläche auf ihren Standardwerten. Als Szenario wäre es auch denkbar gewesen, dass ein Angreifer durch Änderungen der DNS-Einträge den Datenverkehr der jeweiligen User auf eigene Server umleitet (Man-in-the-Middle-Angriff). Über den Namen des Netzwerkes lässt sich zudem in vielen Fällen über öffentliche Datenbanken wie wigle.net der ungefähre Standort des Routers bestimmen.

Anderthalb Monate bis zur Behebung

Beim Testzugriff auf 758 Geräte konnten 338 verwundbare Modems gefunden werden. Es ist auch nicht auszuschließen, dass auch Geräte anderer Hersteller wie Arris betroffen waren. Das Problem bezieht sich ausschließlich auf das Kabelnetz und nicht auf DSL oder Mobilfunk.

"Die Sicherheitslücke wurde Anfang März an UPC gemeldet, eine Rückmeldung kam erst gut drei Wochen später, mit der Information, dass man sich dem Problem annehmen werde", erklärte der Informant gegenüber dem WebStandard. Doch auch anderthalb Monate nach der Übermittlung klaffte das Leck immer noch. Mittlerweile ist es behoben, eine weitere Nachricht an den Entdecker ist allerdings nicht erfolgt. Der WebStandard hat bezüglich des Vorfalls nachgebohrt.

Betroffene Geräte "im niedrigen 1.000er-Bereich"

Mit konkreten Antworten gab sich das Unternehmen dabei sparsam. Erst nach mehreren Nachfragen war der Fragenkatalog einigermaßen zufriedenstellend abgearbeitet. "UPC bedauert, dass es aufgrund eines Software-Fehlers zu einer kurzfristigen Sicherheitslücke bei einer überschaubaren Anzahl von Modems (…) gekommen ist", heißt es dabei. Man habe das Problem erkannt und "eine Lösung im April umgehend bereitgestellt", wobei "umgehend" faktisch einen Zeitpunkt von ungefähr sechs Wochen umfasst.

Die Lücke wurde durch ein per Fernzugriff initiiertes Firmware-Update gestopft. Auch die "überschaubare Anzahl" betroffener Geräte bezifferte die UPC erst im zweiten Anlauf mit "im niedrigen 1.000er-Bereich".

Kunden wurden nicht informiert

Allerdings: Eine Information an die Kunden ist bis heute nicht ergangen. Dabei besteht theoretisch das Risiko, dass Unbekannte in Kenntnis von WLAN-Passwörtern gelangt sind und bei Kenntnis des Standorts somit unbemerkt mitsurfen können. Folglich erscheint zumindest der Hinweis angemessen, sicherheitshalber das Kennwort für das eigene Drahtlosnetzwerk zu ändern.

Das Vorgehen begründete die UPC erst nach einer zweiten Nachfrage. Man habe "keinen Hinweis darauf, dass die Sicherheitslücke zu missbräuchlichen Zwecken verwendet wurde", erklärte man schließlich. Da man das Leck "umgehend geschlossen" habe und die Anzahl möglicherweise betroffener Kunden "sehr gering" sei, habe man "von einer aktiven Information" abgesehen. Man bedaure dies und wolle in Zukunft "aktiv und transparent gegenüber den Kunden" auftreten. (Georg Pichler, derStandard.at, 18.07.2015)

  • Die UPC hat potenziell betroffene Kabelkunden bis heute nicht über das damalige Leck informiert.
    foto: apa

    Die UPC hat potenziell betroffene Kabelkunden bis heute nicht über das damalige Leck informiert.

Share if you care.