Das Luleey GPON SFP Modul (2.5G XPON STICK SFP ONU LL-XS2510) - Passwörter / Sicherheit

Moin,

Das Luleey ist ja grade in allermunde auch ich besitze es eins obwohl ich es nicht wollte

Schon Gewusst ?:

Das Modul läuft mit der Referenz Software von Realtek da wurde grob nur das Logo geändert.

(Was gut ist, da wir ja Dinge wie Serial, Modem ID, etc. einfach ändern wollen).

Und es läuft ein Telnet und SSH Server zusammen mit dem Webserver.

Das hat aber auch ein paar Nachteile...

Loinin: 'admin', Passwort: ‚admin‘

• Der bekannte User der auch auf der Verpackung steht. Darf natürlich ssh/ Telnet.

Login: 'user', Passwort: 'user‘

• Ist auch durch die Weboberfläche bekannt und kann nicht viel. Darf sich aber auch über Telnet / SSH Anmelden und ist dann ROOT user.)

Login: 'administrator', Passwort: 'Stel$864‘

• Steht im Backup drinnen das sich über das Webinterface laden lässt. Nur über Händische Manipulation im backup file und Rückspielens des backups zu ändern. Natürlich auch Root über SSH / Telnet...

Login: 'adsl', Passwort: 'realtek‘

• Der darf sich nur über SSH / Telnet anmelden. Aktuell habe ich noch kein Möglichkeit gefunden das auch zu ändern. Damit das hier erstmal eine 1a Hintertür die aktuell zwar nur aus dem Lokalen netz zu erreichen ist aber Tür ist Tür. daher ggf den zugriff für Telnet / SSH einschränken.

Mal schauen was luleey dazu sagt...

We gesagt admin, user hat die Weboverfläche was für. Dieser Administrator lässt sich zumindestens im

backupfile (da steht alles im klar text drinnen) ändern..

der adsl telnet only user aber nicht.....

Ahh und btw.. Das backup File ist sonst recht wertlos werden doch alle einstellungen (Modem ID und CO)

für das PON Interface nicht mit gesichert...:-)

Werde ich. Persönlich kann ich da aktuell ganz gut mit leben. von Außen ist kein direkter zugriff nötig.

Von innen ist das Modul nur erreichbar wenn sowas wie das Modem Script benutzt wird.

da kann ich dann immer noch per FW den Zugang auf SSH / Telnet und ggf. auch web einschränken.

Oder das Script nur starten wenn ich zugriff benötige.

Ist aber trotzdem ne fiese Geschichte. Das muss so nicht sein !

Zitat von razor

Das habe ich so bisher nicht gelesen / verstanden.

nun über den „Administrator“ Stolpert man nur wenn man sich das backup file anschaut.

Sonst taucht der nicht auf.

der „adsl“ ssh/telnet user selber taucht NUR in der /etc/passwd auf

die liegt aber im image bzw. wird nach einem Boot neu geschrieben.

(meine Änderungen sind nach einem Boot weg)

Da da Config Zeugs auch Admin und Gast in die /etc/passwd schriebt gibt es bestimmt einen

weg... aber erstmal ist das Hart genug für mich kodiert.

So erste Antwort ist da:

Zitat

Dear Marc,

Thank you for your letter .
We are very pleased that you have chosen Luleey. We are also honored that the product has been helpful to your work.
You are a professional technician. Regarding the built-in accounts such as guest, administrator, and adsl that you said in the review. Not good for bad people to know, so we did not display your review. We believe you can understand.

For these three accounts, we will give you a response after discussion.
Thank you very much

Alles anzeigen

Bin nicht sicher warum die glauben das eine Mail an Support ein review ist.. aber nun gut..Villeicht weil das

„Survey“ das da kommt öffentlich auf der Homepage gemacht wird und ich das dort auch eingekippt habe.

Ich bin gespannt was da noch kommt....

Auf Nachfrage (nach 5 Tagen)

Zitat

Thank you for your patience. We communicated with the technical team.
We will make a new firmware to solve this problem in the near future.
E-mail will be sent to the relevant customers then.

Mhhh da bin ich mal gespannt...

Update:
Luleey hat mir gestern eine neue Firmware zukommen lassen. Danach konnte ich über das Modul

keine Internet-Verbindung mehr aufbauen. Bin gerade wieder mit dem Telekom-Modem unterwegs, was mich auch Zeit gekostet hat

das die UDM scheinbar nicht Zurückwechseln will mit dem WAN port auf port 9.

Und ich nun auch nicht sichern, ob das mit dem Reset und dem Wechsel zurück von der UDM

richtig geklappt hat. (endender UNIFOS oder network (alles ES bei mir) scheinen hier einen bug zu haben

was die SFP Ports angeht).

Anyways: ADSL und Administrator user wurde offensichtlich nur unbenannt in "**********“ mit dem Passwort "**********“

(ja richtig: 'ne Horde Sternchen als Username und Passwort). Support sagte da gestern noch das ist nur

ein UI Problem. Aber nein, ich kann mich damit anmelden und bekomme root rechte...

Ich halte euch auf dem Laufenden...

Zitat von phino

Ich sehe da in keinster Weise eine Erhöhung des Sicherheitsrisikos meines Netzes.

Ich für mein Netz auch nicht. Aber irgendwelche Hardkodierten Passwörter waren noch nie eine gute Idee.

Nirgendwo.