Qualcosa sta compromettendo il funzionamento di alcuni router AVM Fritz!Box 7590

Nnc Se è in cascata e non ha IP pubblico non devi fare nulla, a meno che non hai fatto dei forwarding sul tuo modem principale per raggiungere il 4040 da fuori. Almeno per quanto ne sappiamo al momento.

tris_tm La cosa è limitata solo a vecchi FW?

Sembra che siano colpiti anche i più recenti.

morfzeus ragazzi io ho un 7530 AX

Al momnto l'unico modello che sicuramente è coinvolto è il 7590 "classico" con WiFi 5. Non sono esclusi altri modelli ma visto che per ora si ha certezza che impatti solo quel modello qualcuno ipotizza che il problema possa essere addirittura nell'hardware, magari in qualche accelerazione o altro. Solo ipotesi comunque.

Sto provando a connettermi tramite myfritz per fare un check (sono fuori casa) e mi dà connessione timeout. Possibile che AVM stia intervenendo?

Philein da xxxx.myfritz.net? A me si apre

Finora sembra che nessuno (o in pochissimi, forse me ne son perso qualcuno) abbia la porta 443 aperta su WAN, quindi la vulnerabilità non sembrerebbe essere cosi diffusa...

pascop96 solitamente è una porta che aprono nel "Port-Forwarding" chi a su un serverino del tipo nextcloud...

andreagdipaolo Al momnto l'unico modello che sicuramente è coinvolto è il 7590 "classico" con WiFi 5. Non sono esclusi altri modelli ma visto che per ora si ha certezza che impatti solo quel modello qualcuno ipotizza che il problema possa essere addirittura nell'hardware, magari in qualche accelerazione o altro. Solo ipotesi comunque.

Ma quel qualcuno chi?

sinceramente ci andrei coi piedi di piombo...

tris_tm Sincermanete io (oltre a chiudere la porta, se possibile) non mi preoccuperei troppo a meno di
1) avere un ISP con un numero ridotto di utenti con principale fritzbox le cui subnet sono facilmente individuali
2) avere un ISP che dedica subnet speciali ai fritzbox (o router liberi) le cui subnet sono facilmente individuali (per esempio se usi le credenziali generiche vai su alcune subnet diverse da quelle non generiche)
3) avere un ISP che ha realmente pochi indirizzi IP

Nel caso di grossi ISP scandagliare tutti gli IP dei pool, alla ricerca dei fritzbox malati è una impresa titanica che non vale la pena.

Qualsiasi attacco ai fritzbox sarà comunque in massa e difficile scalabile, e farlo a subnet come quelle di tim o Wind è pressoché impossibile.

simonebortolin Nel caso di grossi ISP scandagliare tutti gli IP dei pool, alla ricerca dei fritzbox malati è una impresa titanica che non vale la pena.

Non pensare che ci voglia chissà quanto a scandagliare tutto IPv4. (pensa giorni al massimo)

handymenny dimentichi che lo hanno fatto per i modem Wind

Sono modem wind, non di terze parti, c'è molta più probabilità di beccarli fallati.

Come i tp link con il problema le credenziali voip in chiaro solo ad isp piccoli è stato sferrato l'attacco

Cal Non pensare che ci voglia chissà quanto a scandagliare tutto IPv4. (pensa giorni al massimo)

Hai già detto tutto, giorni. Chi ha voglia di fare questi attacchi non spreca più di qualche ora.

handymenny legandolo alla combinazione fritz 7590 e gestione remota attiva su porta 443 (ma forse è perché stanno cercando solo su quella?).

Tutti quelli che ho sentito sono comunque con piccoli ISP e si solo 7590, mi sarei aspettato anche 7530

simonebortolin Tutti quelli che ho sentito sono comunque con piccoli ISP e si solo 7590, mi sarei aspettato anche 7530

Sono due apparati molto diversi sotto la scocca, che di fatto è l'unica cosa che li accomuna come stile oltre alla grafica della webui.

tris_tm Ma quel qualcuno chi?

sinceramente ci andrei coi piedi di piombo...

Continuo a non capire questo scetticismo/negazionismo nei confronti di questa vulnerabilità.
Ci crederete solo quando la annuncerà AVM?

Capisco la diffidenza sulle ipotesi (ho indicato appositamente che la speculazione sull'origine in hardware è un'ipotesi) ma l'esistenza di questo problema è un fatto incontestabile.

andreagdipaolo Sono due apparati molto diversi sotto la scocca, che di fatto è l'unica cosa che li accomuna come stile oltre alla grafica della webui.

Anche il chipset lantiq

andreagdipaolo Continuo a non capire questo scetticismo/negazionismo nei confronti di questa vulnerabilità.
Ci crederete solo quando la annuncerà AVM?

Se mai lo annuncerà... Intanto magari sono già stati hackerati

Riporto una guida che parla della 443:
https://it.avm.de/assistenza/banca-dati-informativa/dok/FRITZ-Box-7590/3467_Proteggere-il-FRITZ-Box/

questa parte, Abilitazioni".
Cliccare sulla scheda di registro "Servizi FRITZ!Box".
Invece della porta standard 443, inserire nel campo "Porta TCP per HTTPS" una porta non utilizzata e compresa tra 1024 e 65535. Risulterà pertanto più difficile per persone non autorizzate determinare se sia in generale possibile accedere al FRITZ!Box tramite HTTPS.
Cliccare su "Applica" per salvare le impostazioni.
Utilizzare porte FTP/FTPS

Update da partner dove lavoro:

Gentile Partner,
Vi segnaliamo che il team di AVM sta ancora lavorando assieme ai tecnici * per rilasciare la fix e risolvere il problema precedentemente segnalato sulla porta 443, Vi informiamo inoltre allo stato attuale risulta impattato unicamente il modello 7590.

ErBlask Lanciando sulla rete un bot scan ports, anche se trova centinaia di 443 su un certo range di IP, come fa a sapere che quella porta e ospitata da un Fritz

È relativamente semplice, ci stanno tanti tool che consentono di fare OS Detection e verificare eventuali servizi esposti su una determinata porta (con sistema e versione). Richiede solo molto più tempo rispetto a valutare esclusivamente la raggiungibilità di una porta. (Ovviamente presupponendo che i firewall presenti non filtrino tali pacchetti)

Comunque eventuali scansioni massive da parte di utenti malevoli sono facilmente identificabili dai firewall che i vari isp hanno, secondo me procedono direttamente provando ad attaccare range di indirizzi ip di isp che forniscono i fritz in comodato d'uso. Richiede molto meno tempo ed è molto meno invasivo.

ErBlask anche se trova centinaia di 443 su un certo range di IP, come fa a sapere che quella porta e ospitata da un Fritz

Nel caso di WebUI esposta sulla 443 basta poco...che ce vò?