auf dem 32C3 gerade entdeckt:
https://ics-cert.us-cert.gov/advisories/ICSA-15-181-02A
Ich versuche mal das wichtigste mit meinem schlechten Englisch zu übersetzen:
ÜBERSICHT
Die SMA WebBox hat einen fest eingebautes Zugangskonto.
Dieser Zugang lässt sich nicht abschalten oder ändern.
Diese Informationen wurden am 3.9.2015 auf der ICS-CERT Webseite veröffentlicht.
SMA plant keinen Patch dieser alten Versionen. Sie haben [angeblich] ihre WebBox Kunden informiert.
[Mich jedenfalls nicht]
Das Sicherheitsloch kann remote über das Internet ausgenutzt werden.
BETROFFENE VERSIONEN
Sunny WebBox – Alle Versionen.
WAS KANN PASSIEREN
Der Angreifer kann sich vollen Zugang zum System verschaffen. [und damit auch zum internen LAN ... ]
BESCHREIBUNG DER SCHWACHSTELLE
Die WebBox hat fest eingebaute Passwörter, die der Anwender nicht ändern oder sperren kann.
Die Gefährdung wurde mit der maximalen Punktzahl bewertet
AUSNUTZUNG DER SCHWACHSTELLE
Derzeit nicht öffentlich bekannt
SCHWIERIGKEIT
Ein Angreifer mit geringen Fähigkeiten kann das ausnutzen.
ENTSCHÄRFUNG
SMA hat [angeblich] ihre WebBox Kunden über das Sunny Portal informiert. SMA empfiehlt nachdrücklich die Port-Weiterleitung im Router zu deaktivieren oder ein VPN zu benutzen.
---------
Vermutlich ist der Mitarbeiter, der schon damals die WebBox Login Passwörter im Klartext über das Internet verschickt hat, nicht mehr da - nun kann das niemand mehr fixen.