Digitalisierungsbox Premium: Schwerer Bug in der Portfreigabe

Ein schwerer Bug in der Port-Freigabe der Telekom Digitalisierungsbox Premium sorgt dafür, das mitunter nicht nur der eigentlich gewünschte Port freigegeben wird, sondern auch weitere.

So kann es passieren, das neben z.B. Port 443/tcp (https) dann eben auch 445/tcp (smb) zum Internet hin freigegeben wird und dann mögliche Angreifer Zugriff auf einen Dateiserver erlangen.

Die Situation als solches kann man bei heise nachlesen:

c’t deckt auf Zehntausende Patientenakten durch Telekom-Router-Lücke im Netz

Neben dem Bug als solches kommt zum Tragen, das auf dem Dateiserver vmtl. die Freigabe- und Dateirechte auf „Vollzugriff:Jeder“ gesetzt waren. Ich spekuliere mal und vermute, das zusätzlich noch generell die kennwortgeschützte Freigabe deaktiviert war, denn dann ist ein Zugriff ohne jedwede Anmeldung möglich. Darüber hinaus muss in der Windows-Firewall, je nach Ausgabe und Version, dann noch der Zugriff jenseits des eigenen Subnetztes konfiguriert oder die Firewall deaktiviert gewesen sein.

Die Telekom ist vmtl. nicht der alleinige „Urheber“ des Fehlers in der Digitalisierungsbox, da die Geräte von Bintec Elmeg entwickelt und gebaut werden. Im Grunde handelt es sich um abgespeckte und gebrandete be.IP-Modelle. Unschön neben diesem Bug ist das der Fehler seit Mai 2019 bekannt ist und erst jetzt ein Update folgen soll.

Dieser Fall zeigt sehr schön, das man sich nicht auf die „erste Verteitigungslinie“, sprich den Router bzw. die Firewall alleine verlassen darf. „Hinten dran“ sollten auch die Berechtigungen stimmen und weitere Sicherheits- sowie Monitoringmaßnahmen sind ebenfalls ratsam.

Aus diesem aktuellen Anlass habe ich die beiden Digiboxen, die wir bei Kunden geerbt haben mal mit GRC ShieldsUp! gescannt. Soweit nichts auffälliges, wobei nur bei einer dieser Boxen Port 443 freigegeben ist.

Womöglich ist das Ganze davon abhängig, mit welchem Softwarestand die Freigabe erstellt wurde. Bei diesem einem Kunden gibt es die Freigabe seit Jahren. In den Kommentaren zum heise-Artikel kann man nachlesen, das der Fehler wohl durch den Assistenten verursacht wird, dieser sei zwischen den Telekom- und den Bintec Elmeg-Geräten unterschiedlich.

Danke an Norbert von dnsHome.de für den Hinweis auf die Lücke und den heise-Artikel.

Update 27.11.2019

Wie man mittlerweile Nachlesen kann betrifft der Fehler nicht nur die Digitalisierungsbox Premium, sondern auch die beiden anderen Modelle Digitalisierungsbox Basic und Digitalisierungsbox Smart. Firmeware-Updates sollen es nun richten, ohne das ein Zurücksetzen auf die Werkseinstellung samt anschließender Neukonfiguration notwendig sind.

Quelle: heise – Nach Datenleck in Arztpraxis: Weitere Router betroffen, jetzt patchen!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.