Korrigierte DD-WRT-Version bereits erschienen

In der freien Router-Firmware DD-WRT v24-SP1 ist eine Sicherheitslücke, durch die Angreifer Programme mit Root-Rechten auf dem Router ausführen können. Der Fehler sitzt in DD-WRTs Webserver.

DD-WRT ist eine alternative Firmware für Router von Linksys, D-Link und anderen Firmen, die sich viele Nutzer installieren, um mehr Funktionen zu erhalten, als die Standardfirmware bietet. Durch eine fehlende Metazeichenbehandlung im Webserver von DD-WRT lässt sich so ein Kommando an den Router übergeben. Das soll schon über einen manipulierten IMG-Tag in Foren möglich sein und ausreichen, um ein Programm mit Root-Rechten auf dem Router zu starten. Eine Anmeldung auf dem Webserver ist dafür nicht nötig.

Behoben sein soll der Fehler bereits in DD-WRT v24-preSP2, die über das Projektforum heruntergeladen werden kann. Dort finden sich auch weitere Informationen zu dem Problem.