Newsgroup: it.comp.sicurezza.varie
Titolo: Fritz!Box 7590 exploit tramite porta 443, sarà vero?

Ciao, girano voci su una presunta vulnerabilità del Fritz!Box 7590 (non ho
capito se strettamente legato a quel modello, o se valga per tutti i Fritz!Box
anche col firmware 7.56) con la porta 443 aperta per l'accesso esterno e che
permetterebbe di modifcare i dati di connessione e di avere accesso admin. Vi
risulta?
Non ho trovato la fonte originale, né un POC per povare, ma solo articoli
tutti uguali e una discussione su un forum.
 
Chi sa, parli! :-)
 
Gabriele
 
x-post e f/u su it.comp.sicurezza.varie

 articoli tutti uguali e una discussione su un forum.
 
Ne ho letto su un gruppo FB dove però non si citava nessuna fonte ma 
praticamente era lo screenshot di un altro messaggio (che probabilmente è 
lo stesso che è circolato ovunque). Si dice che AVM sta lavorando alla fix 
ma non ho trovato notizia.
 
Mi lascia molto perplesso perché sarebbe una vulnerabilità del FritzOS 
quindi impatterebbe tutti i modelli, ma soprattutto non si capisce perché 
non si sappia quali versioni sono impattate. Quindi sospetto sia una 
bufala diventata virale.


Bufala pare di no perché ho letto di gente che ne gestisce per conto di
provider e il problema c'è.
Ma neanch'io capisco perché il 7590 sì e altri no.
Ho scritto a chi lavora in AVM, vediamo se mi risponde.

 Ho scritto a chi lavora in AVM, vediamo se mi risponde.
 
Sarebbe interessante sapere se c'è da disabilitare qualcosa. Tipo 
l'accesso da remoto che però non è sulla 443 ma una porta random. 


AVM pubblicamente latita, ad alcuni hano risposto di usare un'altra porta, ma
pare non serva molto e che forse c'è un bug nelll'implementazione del
protocollo di getione TR069.
Addirittura consigliano agli ISP che hanno in gestione i router e che non
riescono ad accedere di bloccare sui router esterni (quelli del provider) il
port forwarding verso la 443 corrispondente agli IP dei clienti. Non ho
parole.

 Ma secondo te... no lasciamo stare che ho ancora il dente avvelenato.
 
 
Bug su TR069, come la vedi?

protocollo di getione TR069.
 
Il Fritz! ne ha due, tra l'altro, di servizi TR069: uno per il gestore
della linea e uno per AVM.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 parole.
 
Io il TR069 lo tengo disattivato da sempre.
 
Tra l'altro ora al tr069 si aggiunge la sua evoluzione TR369 a partire 
dalla release 7.50.
 
Da quanto ho capito la TR-369 che supera il TR-069, dato che permette 
ai produttori di IoT e di dispositivi smart di entrare nel router a 
loro piacimento e aggiornare o no ognuno il proprio dispositivo smart, 
fregandosene allegramente delle scelte dell'utente.
 
https://www.avsystem.com/blog/TR-369/
 
 
Il problema è che vorrei che anche il TR-369 fosse disabilitato proprio 
per evitare aggiornamenti in certi casi dannosi, ma non trovo la 
relativa impostazione.

Avevo tempo fa trovato questo
 
https://boxmatrix.info/wiki/Property:CONFIG_TR369
 
 
ma non credo sia più possibile già da molte release entrare  come root 
nel fritz

 fai quasi tutti i cambiamenti.
 
Mah...
 
Io avevo cercato a suo tempo e ho trovato solo metodi non più attivi, 
tra cui anche FbEditor.
 
Quello permetteva di editare il file export, per poi ricaricarlo una 
volta fatte le correzioni volute.
 
Ci avevo provato, ma senza risultato e non ricordo se voglia una 
password per poter attuare le modifiche.

 Si, quella che imposti tu. -_- 
 
No, ci avevo provato, ma se ben ricordo il problema non è (era) la 
modifica, ma riuscire a fare il restore con FsEditor, che chiedeva un 
token o una password diversa che non ho (avevo)
 
Ma forse ricordo male, ci riprovo.

 Ho la netta sensazione che diano il fw in outsourcing... in cina. -_-
 
 
No dai, i crucchi non lo farebbero! Vero?

On 29 Aug 2023 at 11:37:25 CEST, "ArchiPit"

Puoi disabilitare anche TR-369 nella stessa schermata del TR-069:
Internet -> dati di accesso -> Servizi provider
 
Almeno così nella v. 7.56 però deve essere una funziona supportata dal tuo
ISP, altrimenti non appare.

 relativa impostazione.
 
È esattamente sotto, nella stessa pagina.

 ISP, altrimenti non appare.
 
Grazie, vado a vedere...no, non mi appare nulla di specifico per il 
TR-369
 
Nella schermata che metto qui sotto ho abilitato il tr-069 solo per 
vedere se appartiva qualche altra opzione, ma niente (e ora lo 
disabilito di nuovo)
 
https://i.imgur.com/guADdtp.png
 
 
 
No, aspetta...
Dopo avere attivato effettivamente per prova il tr069 è apparso anche 
il tr369 che era attivato, quindi le 2 vanno in coppia. Ora mi appare 
questo
 
https://i.imgur.com/CrgIlCR.png
 
 
dove lo ho disabilitato.
 
Grazie!

 È esattamente sotto, nella stessa pagina.
 
Ho appena scoperto che compare solo dopo avere attivato (nel mio caso 
per prova) il TR-069.

 Ho la netta sensazione che diano il fw in outsourcing... in cina. -_-
 
Ma dai. Ho smanettato con le API di management non c'è una riga di 
documentazione che non sia in tedesco.

 Lo so già che ci sarà una paranoia a cui seguirà insulto libero. :-P
 
Grazie del link, ora lo vado a vedere

 Grazie del link, ora lo vado a vedere
 
Accidenti...devo ascoltare ciascun video più volte con attenzione e 
fare un reverse engineering con debug dei sottotitoli tradotti in 
automatico prima di capirci qualcosa.
 
I primi 5 minuti tra video e sottotitoli tradotti male mi hanno fatto 
venire lo strabismo e di conseguenza mal di testa.
 
Devo andarci piano, nun c'ho più l'età per certi sforzi.. :/ :-(


Allora, dopo varie ipotesi da parte di chi gestisce flotte di Fritz!box 7590,
tipo bug di TR-069, difetto di progettazione di NVRAM e simili, sembra che
potrebbe dipendere dal fatto di avere un "exposed host" in LAN e quindi il bug
si sfrutta in questo caso. Non per forza c'entra di avere la 443 aperta per
manutenzione.
AVM mi dicono che ci stia lavorando e ormai non può più operare in "security
through obscurity" come stava facendo pubblicamente.
 
Ciò che è strano è che apparentemente sta cosa si sia notata solamente in
Italia e Belgio.

 secondo passaggio i sottotitoli. ECC.
 
Fatto fin dall'inizio!
 
Ma i sottotitoli tradotti malamente da google dal tedesco all'italiano 
forse passando dall'inglese (alcuni termini venivano in inglese!) e  
anche per la mia vista deficitaria, li sopporto male.
Per questo devo andarci piano: ci metterò qualche giorno, anche perchè 
non è che sto sempre al pc.
 
Dai, dicci la tua età in numeri :')

 Dai, dicci la tua età in numeri :')
 
e per facilitare la risposta grappa pagata
 
https://i.imgur.com/6abYFdA.png
 

 secondo passaggio i sottotitoli. ECC.
 
 
La lingua è molto ostica, diciamolo.

 (o quarta?)
 
 
Zero assoluto :-D
non sopporto proprio

 micron, quel lotto sarà destinato ad una deteminata nazione.
 
Quindi il fatto che per due mesi e passa, un tot di IP
 
84.54.51.0/24
 mia abbiano tampinato, sia dovuto a quel
 bug?
Ed io non ho un Fritz!
 
-- 
(?)

 Ciao, girano voci su una presunta vulnerabilità del Fritz!Box 7590
 
[cut
 
 
È uscita la v. 7.57 però senza dettagli e con AVM che ancora non chiarisce
bene. Oltretutto lasciando attivo "gnu_debuglink"su decine di eseguibili.
La 7.57 è disponibile anche per il 7530 e ciò non so se sia un buon segno.
Personalmente aspetterò, non avendo exposed host in LAN al momento.
E fate sempre il backup delle impostazioni!

 E fate sempre il backup delle impostazioni!
 
Sul 7530 l'ha aggiornato stanotte, mi fido degli aggiornamenti 
automatici :-D anche perché fra il rischio di ritrovarmi un 
malfunzionamento e quello che comporta un ritardo della fix di uno 0-day 
trovo più accettabile il primo.
 
 

Rispondo qui sotto a Gabriele - onenet
 
 

Grazie.
Intanto lo ho scaricato, anche se attenderò un po' per l'installazione.

 E fate sempre il backup delle impostazioni!
 
Ad ogni modo non c'è changelog, rilasciata molto velocemente (nel senso 
con un processo di rilascio accelerato), il rollout pare ancora a 
singhiozzo... deve esserci per forza una fix urgentissima. Però questa 
opacità qualche dubbio che c'abbiano capito qualcosa lo fa venire. 

 questa "gente"? Preoccupante.
 
Mi fido nella misura in cui sono loro e non altri che rilasciano le patch 
di sicurezza.
Il backup delle configurazioni ce l'ho sempre pronto se è questo che 
intendi. 

 Curiosità, ci hai mai provato? Ed è andato a buon fine?
 
Sinceramente mai avuto l'occasione. E sinceramente anche se una volta in 
tre anni dovessi ripartire da factory reset non sarebbe quel gran 
disastro, ho i nervi allenati ad altre criticità.
 

> Ed è andato a buon fine?
 
Si...

 MA LoL!!! ^_^
 
Dai, il router di casa ci sono tre cose vitali in croce da configurare, e 
proprio perché ho anche la wi-fi mesh altrimenti sarebbero due... 
Mi preoccupa molto più il rischio di una potenziale vulnerabilità e 
ritardare la patch. Ma son giudizi personali ognuno ha la propria 
sensibilità.

 Il problema sta che i malfunzionamenti li vedi dopo un pò... 
 
Per ogni release io salvo più volte la sua configurazione.
 
Quando faccio un downgrade (raramente, e solo se nella nuova release 
c'è qualcosa che non va o non mi piace) poi ricarico la configurazione 
di quella specifica release, proprio per problemi di compatibilità del 
database.
 
Tanto la mia configurazione del router è molto stabile.
Al massimo c'è l'aggiunta da rifare al filtro MAC di qualche nuovo 
dispositivo che nel frattempo ho preso.

 Fossero solo quelli.
 
Mi sento fortunato... (cit)

 Investi 10 franc... hemm 2 euro e gioca sei numeri. ^_^
 
Fatto! :-)

 giusto, segno che il tuo vissuto & bagaglio è di tutto rispetto.
 
Nessun trascorso particolare se non questi dispositivi che ho comprato 
circa tre anni fa quando mi hanno portato la fibra ottica. Nel loro target 
li considero top, di router e access point ne ho girati diversi. 

 ad avm.
 
Vabbeh la prossima volta vedremo.

 avm.
 
 
Lancom?