Sicherheitshinweise

Aktuell.
Gut informiert.

Allgemeine Sicherheitshinweise

Informieren Sie sich gerne hier über aktuelle Sicherheitshinweise zu Ihren LANCOM Produkten.

Informationen zu einer Schwachstelle in OpenSSL-Bibliothek (CVE-2022-0778)

In den Medien wurde über eine Schwachstelle in der OpenSSL-Bibliothek berichtet, welche es einem Angreifer ermöglicht, mit Hilfe von präparierten TLS-Zertifikaten auf dem Zielsystem eine DoS-Attacke durchzuführen (siehe CVE-2022-0778).

LANCOM Produkte sind von dieser Schwachstelle aufgrund der eingesetzten OpenSSL-Versionen betroffen. Es wird empfohlen, auf die folgenden Betriebssystem-Versionen zu aktualisieren:

  • LCOS 10.50 ab Version RU7
  • LCOS 10.42 ab Version RU7
  • LCOS 10.34 SU5
  • LCOS 10.32.0031 PR (BSI BSZ)
  • LCOS FX 10.7 ab Version RU2
  • LCOS LX ab Version 5.36 REL
  • LCOS SX ab den Versionen 3.34 REL & 4.00 RU7
  • LCOS SX ab Version 5.20 RU1 (Release geplant für 31.05.2022)

Alle Betriebssystem-Versionen stehen als Download auf unserer Webseite zur Verfügung.

Die LANCOM Management Cloud (LMC) wurde bereits mit einem Sicherheitspatch versehen.

Bei privaten LMC-Instanzen können jeweils die Hostsysteme betroffen sein, nicht die LANCOM Produkte selbst. Hier empfehlen wir, die Systeme mit entsprechenden Patches zu sichern.


Information zur Schwachstelle "Spring4Shell" (CVE-2022-22965)

Die Medien berichten über eine kritische Schwachstelle im Open-Source-Framework der Java-Plattform „Spring“, welche als "Spring4Shell" bekannt geworden ist (CVE-2022-22965).

Nach eingehender Analyse können wir mitteilen, dass LANCOM Betriebssysteme (alle LCOS Versionen) sowie die LANCOM Management Cloud und der LANCOM Advanced VPN Client nicht von der Schwachstelle betroffen sind.


Information zur Sicherheitslücke im KCodes NetUSB-Kernelmodul (CVE-2021-45388)

In den Medien wird über eine Sicherheitslücke im NetUSB-Kernelmodul des Herstellers KCodes berichtet, welche von Angreifern zur Remote-Codeausführung und auch zur Übernahme der Systeme ausgenutzt werden kann (siehe CVE-2021-45388). Nach eingehender Analyse können wir mitteilen, dass LANCOM Produkte (Hardware, Software, LANCOM Management Cloud) und Betriebssysteme (alle LCOS Versionen) nicht von dieser Sicherheitslücke betroffen sind.


Informationen zur Sicherheitslücke in "Log4j"-Logging-Bibliothek (CVE-2021-44228)

In den Medien wird über eine Sicherheitslücke in der Logging-Bibliothek "Log4j" informiert, welche es einem Angreifer ermöglicht, auf dem Zielsystem eigenen Programmcode auszuführen (siehe CVE-2021-44228 sowie Meldung des BSI). Nach eingehender Analyse können wir mitteilen, dass LANCOM Produkte (Hardware, Software, LANCOM Management Cloud) und Betriebssysteme (alle LCOS Versionen) nicht von der Sicherheitslücke betroffen sind. Bei Rückfragen wenden Sie sich bitte an den LANCOM Support.


Schwachstelle im Modul "mod_proxy" des Apache HTTP-Server (CVE-2021-40438)

Das BSI informiert über eine Schwachstelle im Modul "mod_proxy" des Apache HTTP-Server, wodurch der HTTP-Server (httpd) über eine spezielle uri-Path Anfrage dazu gebracht werden kann, die Anfrage an einen beliebigen Server weiterzuleiten (siehe CVE-2021-40438). LANCOM Geräte sind von dieser Schwachstelle nicht betroffen.


Behebung einer Sicherheitslücke im LCOS (CVE-2021-33903)

LANCOM Systems hat in der LCOS Version 10.42 RU4 und 10.50 REL eine Sicherheitslücke im SNMP-Zugriff geschlossen. Dieses Verhalten trat ausschließlich in den LCOS Versionen 10.4x auf und wird von uns als unkritisch eingestuft. Weitere Informationen erhalten Sie in den LCOS Release Notes auf Seite 9 sowie in dieser CVE-Meldung.


Berichte über neue Bluetooth-Sicherheitslücken (Braktooth)

Die Medien berichteten über mehrere neue Bluetooth-Sicherheitslücken, die unter dem Namen "Braktooth" bekannt geworden sind (z.B. Artikel bei heise.de). Nach eingehender Analyse können wir mitteilen, dass die in LANCOM-Produkten eingesetzten Bluetooth-Chips nicht von den Braktooth-Sicherheitslücken betroffen sind, da die Funktion "BT Classic" nicht verwendet wird.


Informationen zur Sicherheitslücke INFRA:HALT (Nichestack)

In den Medien wurde über die Sicherheitslücke INFRA:HALT berichtet, bei welcher Schwachstellen im TCP/IP-Stack von Industriegeräten aufgedeckt wurden (z.B. Artikel bei heise.de). LANCOM Produkte sind von der Sicherheitslücke nicht betroffen, da dieser TCP/IP-Stack nicht verwendet wird.


Sicherheits-Update für LANCOM R&S®Unified Firewalls

Die Sicherheitsfirma SySS hat eine Sicherheitslücke im internen Benutzer-Portal der Unified Firewall gefunden. Diese wurde unter CVE-2021-31538 veröffentlicht. Dabei konnte bei Unified Firewalls mit LCOS FX 10.5.x bei aktiviertem internen Benutzer-Portal aus dem lokalen Netzwerk (LAN) ein unbefugter Zugriff auf die Unified Firewall erfolgen. Ein Zugriff aus dem Internet (WAN) war nicht möglich. Die LCOS FX Versionen 10.4.x und kleiner sind von der Sicherheitslücke nicht betroffen. Weitere Informationen finden Sie auf dem Pentest-Blog der Firma SySS. LANCOM Systems hat die Sicherheitslücke in LCOS FX 10.6 REL behoben und empfiehlt dringend ein Update auf diese Version vorzunehmen. Die Firmware steht im myLANCOM Firewall-Lizenzportal zum Download bereit.


CERT-Veröffentlichung zu Schwachstellen in Bluetooth Core- und Mesh-Spezifikationen (CERT VU#799380)

Das US-CERT hat am 23.05.2021 einen Bericht über Schwachstellen in Bluetooth Core- und Mesh-Spezifikationen veröffentlicht (CERT VU#799380). LANCOM Geräte sind von diesen Schwachstellen nicht betroffen, da die entsprechenden Bluetooth-Funktionen nicht verwendet werden.


WLAN-Sicherheitslücke "Fragattacks" - LANCOM stellt Patches zur Verfügung

Der Sicherheitsforscher Mathy Vanhoef hat in einem Bericht Schwachstellen im WLAN Standard IEEE 802.11 sowie dessen Implementierungen veröffentlicht. Diese Sicherheitslücken betreffen weite Teile der WLAN-Industrie. Sicherheitslücken in den Funktionen "Frame Aggregation" & "Frame Fragmentation":

LANCOM Produkte sind von folgenden CVEs betroffen:

Diese Sicherheitslücken sind bei LANCOM WLAN-Produkten, welche mit LCOS betrieben werden, ab LCOS 10.42 REL behoben. Zusätzlich ist der entsprechende Sicherheits-Patch in folgenden LCOS-Versionen enthalten:

Bei LANCOM Access Points des Typs LW-500 sind die Sicherheitslücken ab LCOS LX 5.30 RU2 behoben. Für Wi-Fi 6-fähige LANCOM Access Points des Typs LW-600 und LX-6400/6402 ist der Sicherheits-Patch ab der Firmware-Version 5.30 SU3 verfügbar. LANCOM Systems empfiehlt, ein Update auf die genannten Firmware-Versionen durchzuführen. Die LCOS Firmware 10.12 SU16 sowie LCOS LX 5.30 SU3 können Sie ab dem 12. Mai 2021 kostenlos von der LANCOM Webseite herunterladen. In der LANCOM Management Cloud sind alle Patches bereits jetzt bzw. umgehend nach der Veröffentlichung verfügbar. Wenn Sie den Auto-Updater von LANconfig verwenden, kann die Verfügbarkeit etwas Zeit in Anspruch nehmen. Für ältere Produkte, welche diesen Sicherheits-Patch nicht mehr erhalten, empfehlen wir mittelfristig die Migration auf neue WLAN-Technologien.


Voracle Sicherheitslücke in SSL-VPN Implementierung bei aktiver Komprimierung

Bei Verwendung von SSL-VPN mit aktiver Komprimierung lassen sich unter bestimmten Voraussetzungen über die Voracle Sicherheitslücke Rückschlüsse auf die Komplexität des verwendeten Passworts ziehen. Die folgenden Betriebs-Systeme unterstützen kein SSL-VPN und sind daher nicht betroffen:

  • LCOS
  • LCOS LX
  • LCOS SX

LANCOM R&S®Unified Firewalls mit LCOS FX unterstützen SSL-VPN und sind nur bei aktiver Komprimierung betroffen. Die Komprimierung ist zudem standardmäßig aktiv. LANCOM Systems empfiehlt daher die Komprimierung für SSL-VPN generell zu deaktivieren. Die Vorgehensweise ist in dem folgenden Knowledge Base Artikel beschrieben: Deaktivierung der Kompression für SSL-VPN-Verbindungen auf einer LANCOM R&S®Unified Firewall
Die Standard-Einstellung der Komprimierung wird in einer der nächsten LCOS FX Versionen angepasst.


Informationen zur Sicherheitslücke "NAT-Slipstreaming"

Aktuell wird in den Medien über eine akute Sicherheitslücke berichtet. Mittels NAT-Slipstreaming können Geräte hinter einem NAT angegriffen werden, indem die Sicherheitsarchitektur von „Application Layer Gateways“ (ALG) bei Internet-Routern ausgehebelt wird. LANCOM Systems gibt zu dieser Sicherheitslücke folgende Empfehlungen ab:

Browser-Sicherheit:
Die gängigen Web-Browser Anbieter (z.B. Google, Firefox, Microsoft) haben bereits Software-Patches implementiert, durch die ausgehende Kommunikation über die von den ALGs verwendeten Ports unterbunden wird. LANCOM Systems empfiehlt daher, sofern noch nicht geschehen, dringend ein Browser-Update durchzuführen.

Verwendung von Content-Filtern:
LANCOM Produkte bieten eine Content Filter Funktionalität, die den Zugriff auf bösartige Webseiten mithilfe der Blacklist einschränken kann. Dadurch kann ein Angriff erschwert werden.

Deaktivierung bzw. Einschränkung nicht verwendeter ALGs:
LANCOM Systems empfiehlt, auf Routern mit LCOS nicht verwendete ALGs generell zu deaktivieren oder die Kommunikation einzuschränken. Eine Anleitung finden Sie in diesem Knowledge Base ArtikelLANCOM Systems plant zusätzlich ab den LCOS-Versionen 10.42 RU3 und 10.34 SU4 Anpassungen bei den Standard-Einstellungen der ALGs vorzunehmen.

Verwendung des FTP-Proxy oder Application-Management:
Auf Unified Firewalls mit LCOS FX besteht die Möglichkeit, zusätzlich zu den portbasierten Regeln den FTP-Proxy oder das Application-Management zu verwenden. Eine Anleitung finden Sie in diesem Knowledge Base Artikel.

Die folgenden LANCOM Produkte enthalten keine ALGs, daher besteht hier kein weiterer Handlungsbedarf:

  • Alle Access Points (LCOS & LCOS LX)
  • Alle Switches mit LCOS SX

Bericht über Sicherheitslücke im "sudo"-Befehl auf Linux Betriebssystemen (CVE-2021-3156)

Aktuell wird in den Medien über eine Linux-Sicherheitslücke im "sudo"-Befehl berichtet (CVE-2021-3156), welche es Benutzern mit eingeschränkten Rechten ermöglicht, vorhandene Rechte unkontrolliert auszuweiten und somit auf unerlaubte Funktionen zuzugreifen. 

Nicht betroffen von der gemeldeten Sicherheitslücke sind die folgenden LCOS-Betriebssysteme:

  • LCOS
  • LCOS LX
  • LCOS SX

Im LCOS FX ist ein Benutzer mit eingeschränkten Rechten nicht vorgesehen, somit hat die Sicherheitslücke hier keine sicherheitsrelevanten Auswirkungen. LANCOM Systems stuft diese daher für LCOS FX als nicht kritisch ein, veröffentlicht jedoch trotzdem einen entsprechenden Patch in der kommenden Firmware-Version 10.5.3.

Die LANCOM Management Cloud (LMC) wurde bereits mit einem Sicherheitspatch versehen. Bei allen anderen virtuellen LANCOM Produkten (z.B. LANCOM vRouter) sowie privaten LMC-Instanzen sind jeweils die Hostsysteme betroffen, nicht die LANCOM Produkte selbst. Hier empfehlen wir, die Systeme mit entsprechenden Patches zu sichern.


CERT-Veröffentlichung zu Schwachstellen im "Dnsmasq"-Server (CERT VU#434904)

Das US-CERT veröffentlichte einen Bericht über mehrere Schwachstellen im "Dnsmasq"-Server, welcher in Linux-Distributionen als kombinierter DNS- und DHCP-Server eingesetzt werden kann. Die gefundenen Schwachstellen können es einem Angreifer ermöglichen, den Speicher auf einem Zielgerät zu beschädigen und sog. Cache Poisoning-Angriffe gegen die Zielumgebung auszuführen. Eine detaillierte Auflistung und Beschreibung aller Schwachstellen erhalten Sie auf der Webseite des US-CERT (siehe CERT VU#434904). LANCOM Geräte sind von den gemeldeten Schwachstellen nicht betroffen, da der "Dnsmasq"-Server nicht genutzt wird.


Veröffentlichung zu "Amnesia:33" Sicherheitslücken in mehreren Open Source TCP-Stacks - LANCOM Geräte nicht betroffen

Das Unternehmen FORESCOUT veröffentlichte einen Bericht über Schwachstellen in mehreren Open Source TCP-Stacks. Diese sind auch unter dem Namen "Amnesia:33" bekannt (CERT VU#815128).

Die folgenden vier Sicherheitslücken betreffen unterschiedliche TCP-Stacks und ermöglichen die Ausführung von Schadcode und sind daher besonders kritisch:

  • CVE-2020-24336 (CVSS-Score 9.8/"Critical", RCE, uIP)
  • CVE-2020-24338 (CVSS-Score 9.8/"Critical", RCE, picoTP)
  • CVE-2020-25111 (CVSS-Score 9.8/"Critical", RCE, Nut/Net)
  • CVE-2020-25112 (CVSS-Score 8.1/"High", RCE, uIP)

LANCOM Geräte verwenden keinen dieser TCP-Stacks und sind daher nicht betroffen.


Sicherheits-Update für LANCOM Access Switches der GS-23xx-Serie und GS-3xxx-Serie

LANCOM Systems hat für die Fully Managed Access Switches der GS-23xx-Serie und GS-3xxx-Serie die folgenden LCOS SX-Sicherheits-Updates veröffentlicht.

  • LCOS SX 3.32 SU6 für die Switches der GS-23xx-Serie
  • LCOS SX 4.00 SU3 für die Switches der GS-3xxx-Serie

Das Update behebt ein Verhalten, bei welchem spezielle Benutzereingaben über das Webinterface nicht korrekt validiert wurden. Hierdurch konnte ein unvermittelter Neustart des Gerätes provoziert werden. Die Sicherheits-Updates stehen ab sofort im Download-Bereich der LANCOM-Webseite bereit.


Weitere WLAN-Chips von Sicherheitslücke "Kr00k" betroffen (CVE-2020-3702)

Der Hersteller Qualcomm berichtet in einem aktuellen Security Bulletin, über WLAN-Chips, welche von der Sicherheitslücke "Kr00k" betroffen sind (siehe auch CVE-2020-3702). Nach eingehender Prüfung wurde festgestellt, dass LANCOM Produkte nach wie vor nicht von dieser Sicherheitslücke betroffen sind.


Bericht über Linux-Schwachstelle in OpenSSH 8.3p1

Aktuell wird in den Medien über eine Linux-Schwachstelle in OpenSSH 8.3p1 berichtet (CVE-2020-15778), durch die potentiell Denial of Service-Angriffe (DoS) durchgeführt und schadhafter Code remote ausgeführt werden könnte.

Nicht betroffen von der gemeldeten Schwachstelle sind folgende LCOS-Betriebssysteme, in denen OpenSSH 8.3p1 nicht verwendet wird:

  • LCOS
  • LCOS LX
  • LCOS FX
  • LCOS SX bis einschließlich Version 4.x

In der LCOS SX Version 5.00 wird OpenSSH 8.3p1 genutzt, nach ausführlicher Prüfung besteht hier ein geringes Restrisiko. LANCOM Systems wird voraussichtlich bis Ende August 2020 einen Patch im Rahmen des nächsten Releases veröffentlichen.


CERT-Veröffentlichung zur "Ripple20"-Schwachstelle im TCP Stack (CERT VU#257161)

Das US-CERT veröffentlichte einen Bericht über eine Schwachstelle in einem herstellerspezifischen TCP Stack, welche auch unter dem Namen "Ripple20" bekannt ist (CERT VU#257161). LANCOM Geräte sowie die LANCOM Wireless ePaper-Lösung sind von dieser Schwachstelle nicht betroffen, da der betroffene TCP Stack nicht verwendet wirdLANCOM R&S®Unified Firewalls bieten den nötigen Schutz gegen diese Schwachstelle, denn sie können die Angriffspakete von Ripple20 erkennen und blockieren. Weitere Informationen erhalten Sie in folgendem Artikel auf unserer Webseite.


CERT-Veröffentlichungen zu Schwachstellen im Bluetooth Pairing-Mechanismus (CERT VU#647177 & VU#534195)

Das US-CERT veröffentlichte Berichte über Schwachstellen im Bluetooth Pairing-Mechanismus (CERT VU#647177 sowie CERT VU#534195). LANCOM Geräte sind von diesen Schwachstellen nicht betroffen.


Schwachstelle LANCOM Public Spot Login-Seite – Security Update verfügbar

Ein deutsches IT-Sicherheitsunternehmen hat heute auf der Webseite vulnerability-lab.com über eine Schwachstelle im LANCOM Public Spot berichtet. Betroffen sind alle LANCOM Geräte mit freigeschalteter Public Spot-Funktion. Die Schwachstelle ermöglicht es Angreifern, über die Login-Seite des LANCOM Public Spot JavaScript-Code auszuführen. Wird ein entsprechender Code verwendet, können Informationen eingeschleust werden, welche für einen Angriff auf das System eines Public Spot Benutzers mittels eines manipulierten Links verwendet werden können.

Für alle LCOS Versionen mit aktuellem Software Lifecycle Management sind die folgenden Sicherheits-Updates verfügbar:

  • LCOS 10.12 SU15
  • LCOS 10.20 SU10
  • LCOS 10.32 RU9

Die Sicherheits-Updates stehen ab sofort im Download-Bereich der LANCOM-Webseite bereit. LANCOM empfiehlt Betreibern eines Public Spots, die Sicherheits-Updates umgehend zu installieren.


Sicherheitslücke "Kr00k" (CVE-2019-15126): LANCOM Produkte sind nicht betroffen

In den Medien wird aktuell über die WLAN-Sicherheitslücke "Kr00k" berichtet. Hierbei handelt es sich um ein Problem bei WLAN Chips der Hersteller Broadcom und Cypress, durch welche ein Angreifer in der Lage ist, eine Entschlüsselung von per WPA2 verschüsselter WLAN-Datenübertragung durchzuführen (siehe auch CVE-2019-15126).

LANCOM Produkte sind von dieser Sicherheitslücke nicht betroffen, da die WLAN Chips der genannten Hersteller nicht verwendet werden.


Neues Security Update für LANCOM Switches der GS-23xx-Serie: LCOS SX 3.32 SU3

Aktiv und kontinuierlich überprüft LANCOM seine Produkte auf potentielle Schwachstellen. Security Updates stellen ein wichtiges Instrument zur Umsetzung unserer Sicherheitsstrategie dar. Das Security Update LCOS SX 3.32 SU3 behebt ein Verhalten, bei welchem der Zufallsgenerator zur Erzeugung von SSH-Schlüsseln nicht genügend unterschiedliche Host-Schlüssel generierte. Wie sichergestellt werden kann, dass nach dem Firmware-Update genügend Host-Schlüssel generiert werden, lässt sich im folgenden Knowledge Base-Artikel nachlesen. Das Update steht ab sofort im Download-Bereich der LANCOM-Webseite bereit.


Verbesserung der Sicherheit im IPv6-Betrieb

Für die stetige Verbesserung der Sicherheit im IPv6-Betrieb stehen für LANCOM IPv6-Router Security-Updates für Sie bereit. Wird generell kein IPv6 oder keine VPN-Verbindung zwischen IPv6-Netzwerken verwendet, ist dieses Update nicht zwingend notwendig. LANCOM Systems empfiehlt dennoch grundsätzlich, Geräte auf dem aktuellen Firmware-Stand zu halten.

LANCOM Systems stellt folgende LCOS Security Updates zur Verfügung:

  • LCOS 10.32 SU3
  • LCOS 10.20 SU9
  • LCOS 10.12 SU14
  • LCOS 9.24 SU12
  • LCOS 9.00 SU8
  • LCOS 8.84 SU11

Die Security-Updates stehen ab sofort im Download-Bereich der LANCOM-Webseite bereit.


Update zur Veröffentlichung zu Schwachstellen in WPA3-Personal™ („Dragonblood“) / CERT VU#871675

Der Sicherheitsforscher Mathy Vanhoef hat im August 2019 eine Aktualisierung in seinem Paper "Dragonblood: A Security Analysis of WPA3’s SAE Handshake" vorgenommen. Diese Aktualisierung beschreibt eine weitere Möglichkeit von Seitenkanalangriffen durch die Verwendung von Brainpool-Kurven. LANCOM Produkte sind von dieser Angriffsmöglichkeit nicht betroffen, da Brainpool-Kurven nicht eingesetzt werden.


Linux Schwachstellen können Systeme zum Absturz bringen

In den Medien wurde heute über mehrere Schwachstellen berichtet, durch welche Linux-basierte Systeme zum Absturz gebracht werden können (CVE-2019-11477, CVE-2019-11478, CVE-2019-11479). LANCOM Systems stuft das Risiko dieser Sicherheitslücken in Bezug auf LANCOM Produkte als gering ein.

Die folgenden LANCOM Produkte sind möglicherweise betroffen:

  • LANCOM Unified Firewalls
  • LANCOM LW-500

Die LANCOM Management Cloud wurde bereits mit einem Patch aktualisiert. Für die anderen genannten Produkte wird LANCOM Systems in Kürze entsprechende Firmware-Updates mit Sicherheitspatches zur Verfügung stellen (siehe folgendes Knowledge Base Dokument).

Linux-basierte Host-Systeme, auf denen virtuelle Produkte, z.B. LANCOM vRouter betrieben werden können, sind möglicherweise ebenfalls betroffen. Hier empfehlen wir baldmöglichst entsprechende Sicherheitspatches aufzuspielen.


CERT-Veröffentlichung zu Schwachstellen in Broadcom WLAN-Modulen (CERT VU#166939)

Am 17. April 2019 veröffentlichte das US-CERT einen Bericht über Schwachstellen in WLAN-Modulen des Herstellers Broadcom (CERT VU#166939). LANCOM WLAN-Router und –Access Points sind von diesen Schwachstellen nicht betroffen, da in den Geräten keine Broadcom WLAN-Module verwendet werden.


CERT-Veröffentlichung zur unsicheren Speicherung von Session Cookies in VPN-Anwendungen (CERT VU#192371)

Das US-CERT berichtet in seiner Veröffentlichung vom 11. April 2019 (CERT VU#192371) über eine Sicherheitslücke in VPN-Applikationen. Ursächlich ist hierbei die unsichere bzw. unverschlüsselte Speicherung von Session Cookies im Arbeitsspeicher oder in Log-Dateien auf dem Endpunkt eines VPN-Benutzers. Wenn ein Angreifer Zugriff auf den Endpunkt eines VPN-Benutzers hat oder das Session Cookie rausfiltert, kann er die VPN-Sitzung wiederholen und andere Authentifizierungsmethoden umgehen. Ein Angreifer hätte dann Zugriff auf dieselben Anwendungen, die der Benutzer über seine VPN-Sitzung ausführt. LANCOM Produkte sind von dieser Sicherheitslücke nicht betroffen, da keine Session Cookies verwendet werden.


Veröffentlichung zu Schwachstellen in WPA3-Personal™ („Dragonblood“) / CERT VU#871675

(Aktualisierung vom 15.04.2019)

Am 12.04.2019 hat das US-CERT einen Bericht über unterschiedliche Schwachstellen beim WLAN-Sicherheitsstandard WPA3-Personal™ (CERT VU#871675) veröffentlicht. Dieser Bericht umfasst insgesamt 6 Schwachstellen. Die kritischste Lücke beschreibt die Möglichkeit von Seitenkanalangriffen. Diese Gefahr besteht bei LANCOM nicht, da ein potentieller Angreifer nicht in der Lage ist, unautorisierten Code auf einem LANCOM Gerät laufen zu lassen. Es sind somit keine Maßnahmen seitens der Nutzer nötig. Daneben beschreibt der Bericht eine Schwachstelle im WPA2/WPA3-Kompatibilitätsmodus. Dabei handelt es sich um eine Schwachstelle im Standard selbst, sie ist nicht herstellerspezifisch. Das beschriebene Verhalten kann somit endgültig nur durch eine Weiterentwicklung von WPA3-Personal™ behoben werden. Bis diese verfügbar ist, kann die Schwachstelle im WPA2/WPA3-Kompatibilitätsmodus über einen Workaround neutralisiert werden. Diesen haben wir in diesem Knowledge Base Dokument beschrieben.

Die weiteren beschriebenen Schwachstellen sind für LANCOM Nutzer nicht relevant, da die ihnen zugrundeliegenden, optionalen Funktionen bei LANCOM nicht implementiert sind.

Die Schwachstellen wurden vom Sicherheitsforscher Mathy Vanhoef entdeckt und in seinem Paper "Dragonblood: A Security Analysis of WPA3’s SAE Handshake" beschrieben.