Um schreiben oder kommentieren zu können, benötigen Sie ein Benutzerkonto.
Sie haben schon ein Benutzerkonto? Melden Sie sich hier an.
Jetzt anmeldenHier können Sie ein neues Benutzerkonto erstellen.
Neues Benutzerkonto erstellen
Es gibt 97 Antworten in diesem Thema, welches 15.044 mal aufgerufen wurde. Der letzte Beitrag () ist von Tomcat.
wir beim französischen Hersteller nicht "3 Softwareversionen" Versatz haben um unseren (vertraglich erkauften) Support zu erhalte
Grade die TK Hersteller nehmen sich da alles nichts. Eigentlich egal ob da Alcatel, Avaya (mit ex Nortel), Siemens oder Ericson draufsteht.
Und auch die ehemals kleinen wie 3cx rücken da nahtlos auf..
Sicherheit Alarm bei Unifi OS 2.5!!!!!!
Published: May 10, 2023
Version: 1.0
Revision: 1.0
A Cross-site WebSocket Hijacking (CSWSH) vulnerability found in UniFi OS 2.5 and earlier allows a malicious actor to access certain confidential information by persuading a UniFi OS user to visit a malicious webpage.
Affected Products:
Cloud Key Gen2
Cloud Key Gen2 Plus
UNVR
UNVR Professional
UDM
UDM Professional
UDM SE
UDR
Mitigation:
Update affected products to UniFi OS 3.0.13 or later.
Impact:
CVSS v3.0 Severity and Metrics:
Base Score: 6.1 Medium
Vector:
CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N
CVE: CVE-2023-28361 (5shield Cyber Forensic & Security Services)
Reference Links:
https://community.ui.com/releases/UniFi-OS-Dream-Router-3-0-17/b9ef9c45-f32c-4f68-9211-6853f37240d9
Sicherheitslücke Gigabyte Motherboards
A list of affected models is available here... https://eclypsium.com/wp-conte…abyte-Affected-Models.pdf
Das ist ja bei ein paar Leuten hier im Einsatz. Deshalb:
Passwort-Manager Bitwarden: Biometrischer Schlüssel war für alle lesbar
Published: June 27, 2023
Version: 1.0
Revision: 1.0
UniFi OS 3.1 introduces a misconfiguration on consoles running UniFi Network that allows users on a local network to access MongoDB.
This vulnerability is fixed in UniFi OS 3.1.13 and later.
Affected Products:
Applicable Cloud Keys that are both (1) running UniFi OS 3.1 and (2) hosting the UniFi Network application. “Applicable Cloud Keys” include the following: Cloud Key Gen2 and Cloud Key Gen2 Plus.
Mitigation:
Update UniFi OS to Version 3.1.13 or later.
Achtung das Advisory listet nur die UCK Versionen weil es da Offizielle 3.1 gibt.
Betroffen sind aber auch alle Geräte mit der 3.1.x aus dem Beta Programm laufen...
Bei meiner UDR im Beta Programm bekam ich sogar einen Hinweis beim Login das ich wegen dem CVE dringend auf 3.1.13 updaten soll.
Published: July 5, 2023
Version: 1.0
Revision: 1.0
A Cross-Site Scripting (XSS) vulnerability found in UniFi Network (Version 7.3.83 and earlier) allows a malicious actor with Site Administrator credentials to escalate privileges by persuading an Administrator to visit a malicious web page.
This vulnerability is fixed on UniFi Network Version 7.4.156 and later.
Affected Products:
UniFi Network (Version 7.3.83 and earlier)
Mitigation:
Update UniFi Network to Version 7.4.156 or later.
Impact:
CVSS v3.0 Severity and Metrics:
Base Score: 8.4 High
Vector:
CVSS: CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
CVE: CVE-2023-32000 (Mathew Marcus)
Reference Links:
Published: Aug 9, 2023
Version: 1.0
Revision: 1.0
Summary 1 of 2
An integer overflow vulnerability in the UniFi Access Points and Switches with SNMP Monitoring and default settings enabled could allow a Remote Code Execution (RCE).
Affected Products:
UniFi Access Points (Version 6.5.50 and earlier)
UniFi Switches (Version 6.5.32 and earlier)
Mitigation:
Update UniFi Access Points to Version 6.5.62 or later.
Update the UniFi Switches to Version 6.5.59 or later.
Impact:
CVSS v3.0 Severity and Metrics:
Base Score: 9.0 Critical
Vector:
CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE: CVE-2023-35085 (Mathew Marcus)
Summary 2 of 2
A command injection vulnerability in the DHCP Client function of UniFi Access Points and Switches could allow a Remote Code Execution (RCE).
Affected Products:
UniFi Access Points (Version 6.5.53 and earlier)
UniFi Switches (Version 6.5.32 and earlier)
Mitigation:
Update UniFi Access Points to Version 6.5.62 or later.
Update UniFi Switches to Version 6.5.59 or later.
Impact:
CVSS v3.0 Severity and Metrics:
Base Score: 8.3 High
Vector:
CVSS: CVSS:3.0/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE: CVE-2023-38034 (Mathew Marcus)
Reference Links:
https://community.ui.com/releases/UniFi-Access-Point-6-5-64/d8a0725c-a12b-44b2-bce3-e540602ecb81
https://community.ui.com/releases/UniFi-Access-Point-6-5-62/5f88c727-f812-4be7-9560-5f5d22a824d8
https://community.ui.com/releases/UniFi-Switch-6-5-59/124a0554-6d46-4c51-baba-efb99e330099
Jetzt schon einige Tage älter. Leider wurde es von AVM runtergespielt.
Quelle:
Anfang September brachte AVM für die meisten Boxen ein FW Update und was mich wunderte das Vodafone unsere Kabelbox, in der Firma, Recht unverzüglich auch einem Update unterzog.
Im Update 7.57 stand ledig "Verbesserungen".
Was nun im Nachhinein rausgekommen ist wird genau im Heise Artikel erklärt.
Scheinbar sind/waren alle Fritz-Boxen aus dem Internet angreifbar, egal ob Fernzugriff aktiviert oder deaktiviert war und scheinbar konnte man die Boxen sogar ohne Passwort manipulieren.
Wie es ganz genau geht wird nicht beschrieben, was auch verständlich ist.
AVM hingegen verstehe ich nicht und warum sie es runter spielen, ja sogar erstmal verschweigen.
Also wer eine Fritzbox hat bitte unbedingt schauen das er eine aktuelle Version vom Anfang/Mitte September drauf hat. Leider haben wohl einige Provider Boxen bis heute kein Update.
Das hätte sich vermutlich in der aktuellen "Verkaufslage" nicht gut gemacht...
Ich weiß noch nicht, was ich davon halten bzw. erwarten soll...
Was wird aus der Fritzbox? Der Verkauf von AVM ist mehr als ein Besitzerwechsel (t3n.de)
Und ich hab mich gewundert dass meine olle 6490 Cable noch ein Update bekommen hat.
Auch bei dem großen Problem muss man loben, dass auch Altgeräte ein Update bekommen haben, das macht kaum eine Firma.
Alles anzeigenJetzt schon einige Tage älter. Leider wurde es von AVM runtergespielt.
Quelle:
https://www.heise.de/hintergru…enmassnahmen-9323225.html
Anfang September brachte AVM für die meisten Boxen ein FW Update und was mich wunderte das Vodafone unsere Kabelbox, in der Firma, Recht unverzüglich auch einem Update unterzog.
Im Update 7.57 stand ledig "Verbesserungen".
Was nun im Nachhinein rausgekommen ist wird genau im Heise Artikel erklärt.
Scheinbar sind/waren alle Fritz-Boxen aus dem Internet angreifbar, egal ob Fernzugriff aktiviert oder deaktiviert war und scheinbar konnte man die Boxen sogar ohne Passwort manipulieren.
Wie es ganz genau geht wird nicht beschrieben, was auch verständlich ist.
AVM hingegen verstehe ich nicht und warum sie es runter spielen, ja sogar erstmal verschweigen.
Also wer eine Fritzbox hat bitte unbedingt schauen das er eine aktuelle Version vom Anfang/Mitte September drauf hat. Leider haben wohl einige Provider Boxen bis heute kein Update.
Einer der Gründe weshalb ich AVM meide.
Im Grunde ja nicht schlecht und für die olle 7390 gibt es immer noch Updates, bringt sonst keiner.
Nur diesmal war die Art und weise nicht korrekt, da diese Lücke wohl schon länger da war und alle Geräte mit Web Frontend betroffen hat.
Im Grunde ja nicht schlecht und für die olle 7390 gibt es immer noch Updates, bringt sonst keiner.
Nur diesmal war die Art und weise nicht korrekt, da diese Lücke wohl schon länger da war und alle Geräte mit Web Frontend betroffen hat.
Sehe ich anders. Da es scheinbar ein besonders böses Problem ist/war, muss man es nicht verbreiten. Es gibt doch 3 Klassen von Firmware-Updater.
1. Gruppe: Immer die Ersten/oder Beta-Tester.
2. Gruppe. Standardeinstellung und nicht mehr darum kümmern, meist in gestellten Geräten vom Provider.
3. Gruppe. Was, wie, ich habe eine Fritz!Box, wozu? Das sind genau die, die wahrscheinlich gar nicht wissen, was Sicherheitsupdates sind, und dies sind Privatleute genauso wie der Handwerker um die Ecke. Jedenfalls sehr viele.
Und wenn man jetzt das Problem ausbreitet, dann geht so etwas nach hinten los. Schließlich ist der Hauptkundenkreis der aus Gruppe 2/3.
Ich kann es verstehen, wenn solche Problem publiziert werden, wenn der Hersteller nicht reagiert, aber eine Firma, die sogar noch für Uraltgeräte Sicherheitsupdates bereitstellt, für Otto-Normal-Verbraucher muss dies nicht erzählen, insbesondere weil 95% der Kunden sowieso nichts damit anfangen können.
Der Teil der Personen, die nach Offenbarung der Lücke angreifbar sind, wäre immens, weil sie zur Gruppe 2/3 gehören, ein gefundenes Fressen für die Hacker.
Sicherheitslücken vor oder nach einem Fix "breit treten" ist immer so eine Sache. Man muss ja nicht die bösen Schergen noch animieren, diese Lücken zu entdecken und auszunutzen. Wenn allerdings die Lücken bereits ausgenutzt werden, dann finde ich es von Herstellerseite verantwortungslos, nichts zu kommunizieren. Da ist dann ein Hinweis auf den Fix oder ein Workaraound m.M.n. Pflicht.
Bisher gehörte AVM eher zu den besseren Herstellern ... Sicherheitsupdates auch für alte Modelle und das oft sehr zeitnah. Da gab es doch mal das Problem mit SIP Anmeldungen aus dem Internet und Horror 0900 Telefonkosten. Damals hat AVM fast alle betroffenen Boxen sehr kurzfristig an einem Wochenende mit Updates versorgt. Was die Zukunft bringt wird sich zeigen. Aber Besitzerwechsel (insbesondere wenn der neue Besitzer ein Heuschreckeninvestor sein sollte) sind selten gut.
zur Zeit sind 77 Mitglieder (davon 2 unsichtbar) und 464 Gäste online - Rekord: 129 Benutzer ()
