Drei-Modems von ZTE zeigen Admin-Passwort im Klartext

Christian Mayr, CEO von M-KEY net:works GmbH, hat eine Schwachstelle in ZTE-Modems des Mobilfunkers Drei entdeckt. Dazu wird die Login-Website des Modems über http://192.168.0.1 im Browser Chrome aufgerufen und die Entwickler-Konsole aktiviert. Tippt man ein falsches Passwort ein, antwortet das Modem nicht nur mit der Information, dass das Passwort falsch ist, sondern schickt das korrekte Passwort im Klartext mit.

Christian Mayr hat die Lücke mit den Drei-Modems 3Webgate 3, 3Webgate und 3HuiTube getestet. Er hat Drei über die Lücke informiert. Der Mobilfunker hat im Anschluss daran mit ZTE Kontakt aufgenommen, aber dennoch versucht die Lücke herunterzuspielen: „Nichtsdestotrotz muss sich ein potenzieller Angreifer, um diese Kommandos absetzen zu können, im betroffenen Heimnetzwerk bewegen, welches zusätzlich gesichert ist.“

Tatsächlich muss man sich bereits im Netzwerk des Modems befinden, um auf die Einstellungen zugreifen zu können. Allerdings ist dies oftmals kein Hindernis: So werden des öfteren simple Passwörter verwendet oder Gast-Zugänge angeboten, beispielsweise bei Unternehmen oder Cafés.

Zugriff auf SMS und DNS

Mit dem Zugriff auf das Drei-Modem könnte man SMS senden und empfangen und so dem Besitzer ungewollt Kosten verursachen. Es ist auch möglich DNS-Einträge zu ändern und User in dem WLAN etwa zu manipulierten Websites von Banken oder Paypal umleiten, um ihre Zugangsdaten abzugreifen. Mit dem Admin-Zugang lässt sich auch die Firmware aktualisieren. „Angreifer könnten eine mit Malware-verseuchte Firmware installierten“, sagt Mayr.

Mayr hat für seine Tests ein PHP-Script programmiert, das über diese Methode automatisiert das Passwort ausliest, sich einloggt und das Passwort durch ein zufällig generiertes Passwort ersetzt. Ihm zufolge wäre es möglich, solch ein Script auch in einer Android-App zu verstecken und automatisiert im Hintergrund Einstellungen an ZTE-Modems vorzunehmen.

Problem besteht auch bei HoT

Noch ist nicht bekannt, ob nur ZTE-Modems, die von Drei angeboten werden oder alle ZTE-Modems bestimmter Modellreihen von der Lücke betroffen sind. Mayr hat zusätzlich ein Hofer HoT ZTE-USB-Modem getestet. "Bei diesem Stick ist keine Passwort-Abfrage nötig, jedoch lassen sich auf gleiche Weise Werte beziehen, was darauf schließen lässt, dass auch auf nicht von Drei gebrandeten Produkten (ZTE Weltweit) die Sicherheitslücke besteht."

Drei hat folgendes Statement abgegeben:
Ein Software-Fix geht leider nicht von heute auf morgen. ZTE hat uns aber gerade zugesichert, dass das Software-Fix innerhalb der nächsten 3 Wochen kommen wird. Dieses Update wird Kunden direkt am Portal zur Verfügung stehen. Während der kommenden drei Wochen empfehlen wir, das Gäste-WLAN auf dem WebGate3 nicht zu benutzen und das reguläre WLAN mit einem Passwort zu sichern, damit nur ausgewählte User/ Mitarbeiter Zugang haben.

Update: ZTE bestätigt das Statement von Drei. Laut ZTE sind nur Modems von Drei von der Sicherheitslücke betroffen.