Sicherheitslücke in TP-Link-Routern: CISA warnt vor aktiver Ausnutzung

WASHINGTON / LONDON (IT BOLTWISE) – Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine schwerwiegende Sicherheitslücke in TP-Link-Routern in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Diese Entscheidung basiert auf Hinweisen auf eine aktive Ausnutzung der Schwachstelle.

Die Sicherheitslücke, die als CVE-2023-33538 bekannt ist, weist einen CVSS-Score von 8,8 auf und betrifft TP-Link-Router-Modelle wie TL-WR940N V2/V4, TL-WR841N V8/V10 und TL-WR740N V1/V2. Es handelt sich um eine Kommando-Injektionsschwachstelle, die es Angreifern ermöglicht, beliebige Systembefehle auszuführen, indem sie den Parameter ssid1 in einer speziell gestalteten HTTP-GET-Anfrage manipulieren. CISA hat darauf hingewiesen, dass einige der betroffenen Produkte möglicherweise das Ende ihrer Lebensdauer oder ihres Service erreicht haben, und empfiehlt Nutzern, diese Geräte nicht mehr zu verwenden, falls keine Abhilfemaßnahmen verfügbar sind. Derzeit gibt es keine öffentlichen Informationen darüber, wie diese Schwachstelle in der Praxis ausgenutzt wird. Im Dezember 2024 berichtete Palo Alto Networks Unit 42, dass sie zusätzliche Proben einer operationstechnologiezentrierten Malware namens FrostyGoop identifiziert hatten. Eine der IP-Adressen, die einem ENCO-Steuergerät zugeordnet war, fungierte auch als Router-Webserver, der einen TP-Link WR740N nutzte, um auf das ENCO-Gerät zuzugreifen. Es gibt jedoch keine konkreten Beweise dafür, dass die Angreifer CVE-2023-33538 im FrostyGoop-Angriff im Juli 2024 ausgenutzt haben. Angesichts der aktiven Ausnutzung sind Bundesbehörden verpflichtet, die Schwachstelle bis zum 7. Juli 2025 zu beheben. Parallel dazu warnt GreyNoise vor Exploit-Versuchen, die eine kritische Sicherheitslücke in Zyxel-Firewalls betreffen. Diese Schwachstelle, CVE-2023-28771, ermöglicht es einem nicht authentifizierten Angreifer, Befehle durch das Senden manipulierter Anfragen an ein anfälliges Gerät auszuführen. Zyxel hat diese Schwachstelle im April 2023 behoben. Obwohl die Schwachstelle kurz nach ihrer öffentlichen Bekanntgabe zur Erstellung von DDoS-Botnetzen wie Mirai genutzt wurde, hat das Bedrohungsinformationsunternehmen kürzlich verstärkte Versuche zur Ausnutzung festgestellt. Bis zu 244 eindeutige IP-Adressen sollen an den Bemühungen beteiligt gewesen sein, wobei die Aktivitäten auf die USA, das Vereinigte Königreich, Spanien, Deutschland und Indien abzielten. GreyNoise stellte fest, dass diese IPs in den zwei Wochen vor dem 16. Juni keine anderen Scan- oder Exploit-Verhalten zeigten und identifizierte Indikatoren, die mit Mirai-Botnet-Varianten übereinstimmen. Um die Bedrohung zu mindern, wird Benutzern empfohlen, ihre Zyxel-Geräte auf die neueste Version zu aktualisieren, auf anomale Aktivitäten zu überwachen und die Exposition, wo möglich, zu begrenzen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!