Sicherheitslöcher in Netzwerkspeichern von D-Link

In einigen NAS von D-Link klaffen Sicherheitslöcher, über welche ein Angreifer unter ganz bestimmten Umständen Root-Zugriff erlangen könnte. Gefährdet dürften aber primär Anwender sein, die ihren Netzwerkspeicher für Fernzugriff offen haben. Nach einem Bericht von Heise hat ein Sicherheitsforensiker von Search-Lab die Lücken einem 32-seitigen Dokument publik gemacht (PDF). Laut eigenen Angaben gelang es ihm, die Login-Authentifizierung auf mehrere Arten zu umgehen, indem er sich zweier standardmässig vorhandener Accounts bediente. Für diese war kein Passwort gesetzt oder liess sich keines setzen. Darüber hinaus stiess er auf sogenannte Command-Injection-Lücken, mittels derer er Speicherüberläufe zum Ausführen weiterer Befehle erzwingen konnte.

Wer eines der folgenden Modelle besitzt, sollte die jeweils aktuelle Firmware-Version einspielen.

Wir haben D-Link mit der Meldung konfrontiert. Von offizieller Seite lässt D-Link verlauten: «Wir haben mit Firmware-Updates in den vergangenen Monaten bereits immer wieder einzelne dieser insgesamt gemeldeten Lücken geschlossen. Kritische Lücken sind daher bereits gefixt und jetzt arbeiten wir an den nächsten Firmware-Updates mit den weiterhin offenen Punkten», meldet uns der Hersteller.

Der Search-Lab-Sicherheitsforscher befindet sich bereits seit Juli letzten Jahres mit dem Unternehmen im Kontakt. Tatsächlich konnten deswegen inzwischen schon viele Lücken bereinigt werden.