Beveiligingslek in Alcatel ADSL-modems

De Automatisering Gids meldt dat twee Alcatel ADSL-modems behept zijn met een beveiligingslek. Het gaat om de Alcatel Speed Touch Home ADSL Modem en het Alcatel 1000 Network Terminating Device, twee apparaten die door KPN worden gebruikt voor MXStream verbindingen.

De fout wordt veroorzaakt door de in de modems ingebakken mogelijkheid om ze op afstand van nieuwe systeemsoftware te kunnen voorzien. Kwaadwillenden blijken dit ook te kunnen, met alle potentiëel kwalijke gevolgen van dien natuurlijk. Alcatel werkt aan een oplossing, maar adviseert om "voorlopig maar een firewall in te zetten". Op de MXStream-site van KPN is nog geen info te vinden:

Het lek biedt hackers mogelijkheden de modem onklaar te maken. Zelfs informatie zoals creditcardnummers en E-mail, mits niet versleutelt, kan onderschept worden. Onbevoegden kunnen namelijk, door de fout in de systeemsoftware van de modem, software in het apparaat vervangen door een eigen versie.

Alcatel zegt te werken aan een oplossing voor het probleem. Het bedrijf adviseert gebruikers voorlopig een hardware firewall-software te installeren aan de lijnkant van de modem. De onderzoekers melden overigens dat het lek niet makkelijk te misbruiken is.

Het verhaal van de Automatisering Gids is hier na te lezen. Uitgebreide informatie vind je bij het San Diego Supercomputer Centre en het CERT Coordination Center. Met dank aan iedereen die dit nieuwtje heeft gesubmit!

Reacties (63)

[source]

Dat is niet best, heb zelf hier een Alcatel Speed Touch Home staan... ik ga maar ff snel een firewal neerzetten!

[ACM]

Firewall helpt je er niks tegen.
Modem zit VOOR je firewall
Je kan er erg weinig tegen doen geloof ik. Was nogal een uitgebreid mailtje dat er op bugtraq voorbij kwam...

[Verwijderd]

Maar m.i. heeft het modem alleen een 10.x.x.x adres waarover een pptp verbinding gemaakt wordt (met je echte ip-adres)
Ik zou zo niet weten wie 123 achter het adres van mijn modem kan komen

BTW hoe ziet een hardware firewall aan de lijn kant eruit in casu adsl?

[Verwijderd]

http://10.0.0.138

[Verwijderd]

Naar dat adres connect je vanuit de client,
maar welk ip-adres heeft de interface aan de kpn-kant dan?

[mullah]

bij xs4all je vaste ip adres?

[Verwijderd]

nee
dat adres gaat alleen over de pptp verbinding

[Verwijderd]

Any mechanism for "bouncing" UDP packets off systems on the LAN side of the network may potentially allow a remote attacker to gain TFTP access to the device. Gaining TFTP access to the device allows the remote attacker to essentially gain complete control of the device.

Ziet er toch naar uit dat dat juist wel te regelen is met een firewall...

edit:

Stik, da's slechts de eerste van vele bugs. Die laatste is inderdaad heel erg lomp.

[maartena]

Nee. Jouw computer wordt bij deze hack niets eens benaderd, en je LAN kaart dus ook niet. Men gaat direct op het modem zitten hacken, en dat kun je dus alleen voorkomen door VOOR het modem een extra vuurmmuurtje te plaatsen.

[Verwijderd]

Van ander mans spullen afblijven ok.
Maar zolang er mensen zijn die het niet kunnen laten heb ik toch graag dat dit soort spullen veilig zijn. Het mag dan wel aardig ingewikkeld zijn van dit lek gebruik te maken maar ik hoop toch dat ze snel met een "oplossing" komen dan met dingen als gebruik een hardware matige firewall.
Sorry hoor maar ik heb toevallig niet zo'n ding staan en ik denk ook niet dat ik de kosten op alcatel kan verhalen

groeten,
Jammer

[dextertje]

en dat kun je dus alleen voorkomen door VOOR het modem een extra vuurmmuurtje te plaatsen.

Hoe doe je dat, VOOR je modem een vuurmuurtje plaatsen?
Waar moet je die vuurmuur dan mee verbinden??? Tussen je ADSL modem en je provider, maar niet met je ADSL (telefoonlijntje), want je modem die zit ACHTER je vuurmuur en de gemiddelde vuurmuur kun je niet zomaar aan een ADSL-lijn aansluiten, zonder een ADSL-modem...

Maar goed, wie het CERT artikel heeft gelezen (zoals al eerder is gezegd), weet dat het beveiligingslek aan de _interne_ kant zit, dus alleen je mede LAN-gebruikers kunnen er iets mee. Okee, ik ben niet helemaal volledig, mensen die fysieke toegang hebben tot de _externe_ kabels van je Alcatel modem die kunnen er ook mee knoeien... en mensen die net doen alsof ze van je interne netwerk komen (dus mensen die spoofen).

[Vastloper]

Als jullie nu eerst eens dat artikeltje gaan lezen bij CERT bijvoorbeeld, dan weet je waar je het over hebt. Pakketjes aan de "kpn" kant worden over het algemeen genegeerd als je makkelijk bij dat modem wil komen vanaf internet moet dat van binnen het netwerk komen en dat kan dmv de udp echo poort. Je moet dan wel ip spoofen om erbij te komen. Die udp echo poort kan je gewoon dichtgooien en je kunt spoofen ook tegengaan daardoor kun je het een heel stuk veiliger maken en dat kan ook gewoon met software. Je hoeft dus niet allemaal gilend naar de winkel te rennen ofzo
Ik raad de eigenaren van dat modem sterk aan dat artikel bij CERT te lezen (net als overige tweakers hier die mee willen praten eigenlijk) dat is heel duidelijk en staat ook hoe je het kan beveiligen!

edit:

Dit is een reactie op maartena, helmet heeft het wel bij het rechte eind

[desmodus]

Mooi dat dat zo snel uitkomt

Maar kom op hé. Dan hebben we het over het schrijven van een stukkie software, naar je modem uploaden. Modem herstarten (lijkt mij dat prefs door nieuwe software ook gewist zijn). En dan helemaal niets doorhebben???

Kans lijkt mij 'zoals ze zeggen' heel klein. Ennuh . . 'hardware firewall aan de lijnkant'???? llijkt mij dat mx-stream door particulieren gebruikt wordt, toch? Welke particulier heeft er een hardwarefirewall?

[Crazy D]

Maar kom op hé. Dan hebben we het over het schrijven van een stukkie software, naar je modem uploaden. Modem herstarten (lijkt mij dat prefs door nieuwe software ook gewist zijn). En dan helemaal niets doorhebben???

Hmm ook al heb je wel door dat je modem aan het rebooten is, dan ben je al te laat.

Kans lijkt mij 'zoals ze zeggen' heel klein. Ennuh . . 'hardware firewall aan de lijnkant'???? llijkt mij dat mx-stream door particulieren gebruikt wordt, toch? Welke particulier heeft er een hardwarefirewall?

Heb jij die niet dan
Inderdaad wel een beetje brakke opmerking, "gebruik voorlopig een hardware matige firewall". -1 Dom voor Alcatel. Als ze nou 'for the time being' een firewall beschikbaar zouden stellen, ok, maar er zijn idd errug weining mensen die zo'n ding hebben, en die dingen kosten behoorlijk veel geld om ff aan te schaffen omdat zij een fout hebben gemaakt.


En misschien is de kans wel behoorlijk klein dat een hacker/cracker zoiets gaat doen, de kans bestaat wel. En da's al erg genoeg

[martdj]

Ik heb zelf niet zo'n modem, maar volgens mij zit aan de ingang van het modem een gewone telefoonlijn, want het splittergedeelte zit in het modem toch? Hoe dacht je dan in hemelsnaam een firewall voor het modem te zetten?

[.oisyn]

nee de splitter staat los van je modem, maar in je modem zit idd een telefoonaansluiting

het is als volgt

telefoondraad zoals ie het huis binnenkomt -> splitter -> stuk telefoondraad -> adsl modem -> utp kabel -> netwerkkaart van jouw pc

Maar goed, iemand die mij kan vertellen hoe ik die firewall kan realiseren?!?!
Wat een brakke opmerking van alcatel!

[Verwijderd]

Zou wel makkelijk zijn hun klanten wat beter voor te lichten. Sommige mensen zullen niet eens weten wat een firewall is.
Bij dit soort problemen kun je niet zomaar even de verantwoordelijkheid bij de klanten leggen.

[Verwijderd]

Het is in dit geval *KPN* die een firewall in moet zetten!

Het lijkt mij vrij knap namelijk als jij een Firewall voor je modem kan zetten....

[Venator]

Ook leuk is het feit dat als je hier wat leuke "upgrades" voor kan schrijven zodat je doodleuk een DOS attack min of meer kan gaan relayen of andere leuke toepassingen van het relay concept.... zolas mail (spam), ip-maskerade (via zo'n speedtouch van een ander je eigen ip maskeren).. Lijkt me allemaal onveilig genoeg voor de adsl gebruiker en heel lastig voor zowel Alcatel als KPN...
* 786562 venatorécht distributed computing

[yGiDoRp]

Ik vind het jammer dat er niet al een firewall in die modem zit. De mogelijkheden heeft het apparaat er wel voor.

[Verwijderd]

hmmm. Modem IP lijkt me idd niet makkelijk te achterhalen. Vraag me alleen toch af: Worden dezelfde modems nog steeds uitgegeven? Verwacht namelijk dat mijn ADSL portje binnen een week of 2 aangesloten is.

Errug naadje dat hier nog geen voorlichting over wordt gegeven van kpn kant.

[Verwijderd]

Je kunt natuurlijk ook de USB-ellende nemen

[Cableboy]

Op WebWereld staat alleen dat KPN ook modems van Alcatel gebruikt. Niet dat het om deze typen gaat.

Link: http://www.webwereld.nl/nieuws/dysta/index.phtml?num mer=7267

[Verwijderd]

Volgens mij gaat het niet op voor mx-stream gebruikers, daar zij altijd nog met vpn inloggen. Het ipadres (wat extern te benaderen is) is alleen aan je vpn adapter verbonden en niet aan je modem.
correct me if i'm wrong..

[Venator]

Computerip:10.0.0.138 pc1/pc2/etc.. maakt verbinding met alcatel speed touch, ip nr 10.0.0.150. Vervolgens log je via dit vpn(van kpn) aan bij je provider en krijg je je ip adres, tenzij je een vast ip hebt. Dat is de werking ervan. Behalve bij xs4all, die loggen sinds maandag geloof ik direct bij xs4all in.
Al met al heb je wel gelijk, maar die vpn adapter is gekoppeld aan de speedtouch en zodoende is het toch mogelijk, zij het met een omweg, om software richting dat ding te krijgen, aangezien er geen ipsec, of enig ander beveilingsprotocol wordt gebruikt (behalve ms chap) (kijk maar eens hier: http://www.xs4all.nl/helpdesk/abonnement/adsl /basic/ windows2000/configureren.html

[Verwijderd]

correctie: Computer ip 150 maakt verbinding met alcatel ip 138

en de gebruikers van xs4all maken nog altijd gebruik van vpn, alleen sinds maandag niet meer van C-nat

[garp]

Da's nou net een poortje dat die firewall van KPN niet doorlaat van hun netwerk naar buiten

[Verwijderd]

Gelukkig niet meer nee.. eindelijk kan ik nu normaal een dns server draaien..

[Venator]

Ah, gracias Chico Latino.. ik wist dat ik iets mis had..
Maar goed, het ging even om het principe

[Verwijderd]

Het beste om je modem te beveiligen is denk ik een paswoord op dat ding zetten. Evt. ook het IP adres veranderen. (die 10.0.0.138)

Firewall aan de lijn-kant? Daar zit je telefoonlijn!

[Verwijderd]

Vulnerability Note VU#243592 Alcatel ADSL modems provide EXPERT administrative account with an easily reversible encrypted password

http://www.kb.cert.org/vuls/id/243592

[Verwijderd]

Ik las het ook ja. Maar dan is het IP-adres weizigen misschien een optie?

[Verwijderd]

These capabilities are also available to anyone with the proper equipment and access to the copper loop, such as at the residential TELCO DEMARC outside a home, or a street-side "ped". Theoretically, anyone who can emulate a central office DSLAM (ATU-C) can "clip on" to the phone line and take full control of the device. Note that since some of the same DMT chip sets are sold for use in both remote devices (ATU-R), such as the Speed Touch, and in central office equipment, such as DSLAMs (ATU-C), it is probable that constructing an improvised single-line "portable DSLAM" is not be out of reach for a somewhat determined attacker.
Bron: http://security.sdsc.edu/self-help/alcatel/alcatel-b ugs

Nou hebben ze het daar zowieso al over iemand die serieus met een laptopje aan de telefoonlijn gaat hangen (dus ik neem aan dat ze er van uit gaan dat de provider de boel wel netjes afschermt, zolang het dus niet om die bounce-bug gaat) en dan heb je natuurlijk dat IP adres zo te pakken.