Der Router-Hersteller AVM hat seine MyFritz-App für iOS und Android aktualisiert. Die neue Version biete, so das Unternehmen, einen besseren Schutz vor „Man-in-the-Middle“-Angriffen. Heise-Netze berichtete zuvor, dass die ältere Version eine Sicherheitslücke hatte, bei der Fremde auf die Weboberfläche der Fernwartungsfunktion zugreifen konnten. Ein solcher Angriff auf die FritzBox sei jedoch, so sagte AVM, nur in wenigen Fällen möglich gewesen. Dafür hätte zum Beispiel ein anderer Anwender im gleichen WLAN-Netz der FritzBox wie der Nutzer der MyFritz-App verbunden sein müssen. Jedoch sei, so berichtet Heise-Netze, das auch über einen öffentlichen WLAN-Hotspot ohne Probleme möglich gewesen.
Session ID konnte durch Nutzer abgegriffen werden
Laut dem Bericht sei es möglich gewesen ohne Probleme in die SSL-geschützte Verbindung hinein zu kommen. Grund dafür sei gewesen, dass die Apps bisher das SSL-Zertifikat nicht ausreichend überprüft hätten. Dadurch sei es problemlos möglich gewesen, die Session ID auszulesen und so selbst Zugriff auf die Oberfläche zu bekommen. Ein Zugriff auf die Weboberfläche der FritzBox ist so ohne weiteren Login möglich gewesen. Es sei dann möglich gewesen einen neuen Nutzer über die Weboberfläche anzulegen um beim Ausloggen immer noch Zugriff auf die FritzBox zu haben. So konnten auch Datenverkehr und Telefongespräche mitgeschnitten oder umgeleitet werden. Bei der neuen Version der MyFritz-Apps käme jetzt Certificate Pinning zum Einsatz. Dabei handele es sich um eine Methode, bei der ein Fingerprint von dem SSL-Zertifikat angelegt wird. Sollte dieser sich bei zukünftigen Zugriffen ändern, so gibt die App eine Warnung aus.
