Een lek in de Fritzbox-modems van fabrikant AVM maakt het voor websites mogelijk om allerlei informatie te achterhalen, zoals interne ip-adressen, mac-adressen, hostnamen van aangesloten systemen en het unieke id van de Fritzbox. Informatie die voor verdere aanvallen gebruikt zou kunnen worden.

Door middel van JavaScript en een techniek genaamd dns rebinding kan een website met de configuratie-interface van de Fritzbox communiceren en zo de informatie achterhalen. Het probleem werd door onderzoeker Birk Blechschmidt ontdekt, die AVM op 17 maart informeerde. Na het eerste contact bleef het echter stil, zo laat de onderzoeker tegenover het magazine Heise online weten. Daarop besloot hij informatie over de kwetsbaarheid online te zetten. Inmiddels heeft de onderzoeker die weer offline gehaald.

AVM verklaart tegenover Heise dat het om een bekend probleem gaat dat met een toekomstige update wordt verholpen. Volgens de fabrikant is de impact van de kwetsbaarheid klein. Welke modellen allemaal kwetsbaar zijn liet AVM niet weten. Heise testte het beveiligingslek op een Fritzbox 7590 met de meest recente firmware. Gebruikers die zich in afwachting van een update willen beschermen krijgen het advies om de ondersteuning van ipv6 uit te schakelen. De aanval maakt onder andere gebruik van het feit dat de configuratie-interface aan het ipv6-adres van de Fritzbox is gekoppeld.

Update

XS4ALL, dat klanten Fritzbox-modems aanbiedt, laat in een reactie weten: "Hoewel deze zwakke plek al onze Fritzbox modems treft, is het daadwerkelijke risico voor XS4ALL-klanten zeer klein gezien de complexiteit van de aanval die nodig is om informatie uit de modems te lezen, en de relatief onschuldige aard van de gegevens die uit de modems kunnen worden gelezen." De provider zegt dat het lek niet actief wordt aangevallen en de situatie in de gaten wordt gehouden. Zodra de update van AVM beschikbaar is zal XS4ALL die onder klanten uitrollen.