Verwundbarkeit gegenüber FragAttacks (CVE-2020-24588, 24587, 24586, 26145, 26144, 26140, 26143, 26139, 26146, 26147, 26142, 26141)

Der Sicherheitsforscher Mathy Vanhoef benannte zwischen April und Mai 2021 einige gravierende Designfehler bei der Implementierung von WLAN gemäß IEEE 802-11. Diese Probleme werden unter dem Begriff FragAttack zusammengefasst und bezeichnen die Möglichkeit, nach dem Nutzung einer verschlüsselten Verbindung fragmentierte Pakete durch andere zu ersetzen und so den Datenfluss zu manipulieren.

Unverschlüsselte Netze scheinen nicht betroffen zu sein, auch muss die WEP/WPA2/WPA3-Verschlüsselung bereits überwunden oder bekannt sein.

Wir werden Hardware- und Softwaremodifikationen anbieten, um die Sicherheitslücke zu schließen. Unsere Tests zur Feststellung der Verwundbarkeit sind abgeschlossen, einen entsprechenden Textbericht finden Sie hier.

Die v4 ist seit geraumer Zei EoL und kann deshalb nur noch rudimentär gepflegt werden, die v6 wird ein Softwareupdate erhalten, ggf. müssen in WLAN-Karten getauscht werden, wenn der Hersteller kein Firmwareupdate anbieten sollte. Wir halten Sie auf dem Laufenden.

WPA2-Lücke KRACK (Key Reinstallation Attack, CVE-2017-13077, 13078, 13079, 13080, 13081, 13082, 13084, 13086, 13087, 13088)

Am 16. Oktober 2017 wurden Fehler im WPA2-Verfahren bekannt, die Sicherheit der Verbindung betreffen und fast ausnahmslos WLAN-Clients betreffen, in nur wenigen Fällen Access Points, wie den CAR-A-WAN.

Bestimme Szenarien, bei denen aber die WLAN-Karte als Ethernetclient verwendet wird (CAR-A-WAN.112) machen ein Sicherheitsupdate auch bei IPmotion notwendig.

Wir haben bereits die entsprechenden Maßnahmen ergriffen und werden in der KW 43/44 ein generelles Update für die v4 und die v6 freigeben. Bis dahin bitten wir unsere Kunden um Geduld, die Software muss erst getestet werden.

Weitere Hinweise folgen per Email an alle bekannten Kunden.