Unitymedia Kabelmodem Arris CM8200B

[Maurice]

Meins steht immer noch als Buchstütze im Schrank, hätte ich dir gerne zugeschickt. Vielleicht sollte ich es einfach mal wieder anschließen. Beim letzten Test anno dazumal gab es hier noch nicht mal D3.1. Das Problem war ja, dass es nur bestimmte DS-Kanäle scannt und hier keinen gefunden hat.

Deines hat also auch das nbn-Branding? Kannst Du etwas zur Firmware-Version sagen?

 

[rv112]

Ja, meines hat oben das nbn Logo, unten das Arris. Die Firmware ist nicht gebrandet und lautet: D31CM-FALCON-1.1.1.0-GA-06-NOSH

 

[Maurice]

Habe meines nochmal angeschlossen. Wie erwartet gleiches Verhalten wie damals: Scannt nur immer wieder die gleichen acht Kanäle (die hier nicht verwendet werden). Liegt dann vermutlich an der Firmware-Version. Meines hat noch die D31CM-FALCON-1.0.0.1-GA-10-NOSH.

Eine Update-Möglichkeit hast Du wahrscheinlich auch nicht?

 

[rv112]

Noch nicht, nein. Steht Deins auf Europa unter Configuration?

 

[Maurice]

Ja, steht auf Europa, das ist nicht das Problem. tobsen hatte es damals auch an seinem EuroDOCSIS-CMTS zum Laufen bekommen, indem er dort einen passenden Kanal eingestellt hat. Vodafone wird aber vermutlich nicht mir zuliebe die Kanäle ändern.

Vermutlich wurde der Scannvorgang in der neueren Firmware flexibler konfiguriert. Muss ich wohl doch mal wieder nach Australien zum Updaten. Da ist eh schöneres Wetter.

 

[Maurice]

Ich habe nun nochmals ein Exemplar besorgt. Das war bis Mai in Australien in Betrieb und sollte daher aktuelle Firmware haben (Version weiß ich aber nicht). Es scheint auch eine neuere Hardware-Revision zu sein (CM8200B P2).

Resultat: Noch schlechter als beim ersten. Das Webinterface ist nicht erreichbar, der Spectrum Analyzer auch nicht und es synchronisiert hier in BW nicht (erkennbar an den LEDs).

Da hatte @rv112 wohl viel Glück, eine funktionierende Firmware-Version zu erwischen.

 

[rv112]

Ich schau noch mal welches ich habe.

 

[Maurice]

Die Nichterreichbarkeit von Webinterface und Spectrum-Analyzer hat sich mittlerweile geklärt: Die Australier berichten übereinstimmend, dass der Zugriff seit einem ab ca. April 2020 ausgerollten Firmware-Update nicht mehr möglich ist. Die dortige Community ist not amused.

Warum nur das Exemplar von @rv112 synchronisiert erschließt sich mir jedoch nicht. Gab es zwischenzeitlich eine etwas flexibler konfigurierte Firmware-Version, nun aber wieder nicht mehr? War es vielleicht nie provisioniert und hat daher den Frequenz-Preset nicht? In BW scheinen wir ja beide zu sein, große Unterschiede an den Anschlüssen sollte es daher nicht geben.

 

[rv112]

Deines steht wohl nicht auf EuroDOCSIS. Dann dürfte es in AU aber auch nicht funktioniert haben.
Ich habe ebenfalls HW Revision P2.

 

[MartinP_Do]

Der Spectrum Analyzer des TC4400 Modems hatte eine Sicherheitslücke (Cable Haunt). Die rabiate Methode diese zu schließen war, den Analyzer zu deaktivieren ... Das könnte auch in dem Arris Modem der Grund für diese Änderung sein. Das Webinterface generell ist aber beim TC4400 Modem weiter erreichbar....

https://www.hardwareluxx.de/index.p...cable-haunt-macht-kabelmodems-angreifbar.html

 

[Maurice]

Deines steht wohl nicht auf EuroDOCSIS.

Halte ich für ausgeschlossen. Dass Modem war wie gesagt in Australien regulär im Einsatz.
Bei meinem alten Exemplar haben wir ja festgestellt, dass es nur eine festgelegte Liste von Kanälen scannt. Vermutlich ist das bei dem neuen genau so. Mangels Webinterface leider nicht zu beweisen.
Hast Du dein Exemplar auch gebraucht bekommen oder ist es möglich, dass es nie im nbn aktiv war? Wie verhält es sich nach einem Reset? Macht es einen richtigen Full-Scan?

Der Spectrum Analyzer des TC4400 Modems hatte eine Sicherheitslücke (Cable Haunt). Die rabiate Methode diese zu schließen war, den Analyzer zu deaktivieren ...

Das "normale" Webinterface ist aber auch tot. Die Australier spekulieren, dass sich einfach zu viele Leute über schlecht eingepegelte Anschlüsse, hohe Fehlerraten etc. beschwert haben...

 

[MartinP_Do]

Halte ich für ausgeschlossen. Dass Modem war wie gesagt in Australien regulär im Einsatz.
Bei meinem alten Exemplar haben wir ja festgestellt, dass es nur eine festgelegte Liste von Kanälen scannt. Vermutlich ist das bei dem neuen genau so. Mangels Webinterface leider nicht zu beweisen.
Hast Du dein Exemplar auch gebraucht bekommen oder ist es möglich, dass es nie im nbn aktiv war? Wie verhält es sich nach einem Reset? Macht es einen richtigen Full-Scan?



Das "normale" Webinterface ist aber auch tot. Die Australier spekulieren, dass sich einfach zu viele Leute über schlecht eingepegelte Anschlüsse, hohe Fehlerraten etc. beschwert haben...

Ist es "tot" im Sinne, dass nicht einmal mehr eine Login-Seite angezeigt wird, oder stimmt das Password nicht mehr?

 

[rv112]

Meines ist nagelneu gewesen. Es macht einen Scan ab 0 MHz.

 

[Maurice]

Ist es "tot" im Sinne, dass nicht einmal mehr eine Login-Seite angezeigt wird

Richtig. Port 80 TCP ist zu. In der australischen Community wurde das ausführlich diskutiert; Workaround ist keiner bekannt:
NBN HFC Arris modem status page - “NBN” - Whirlpool Forums

Meines ist nagelneu gewesen. Es macht einen Scan ab 0 MHz.

Okay, das ergibt Sinn. Wir hatten damals schon spekuliert, ob die Frequenzliste in der Firmware hartcodiert ist oder "nur" in einer persistenten Konfiguration. Letzteres ist dann wohl der Fall. Da deines nie im nbn in Betrieb war hat es die entsprechende Konfiguration nicht bekommen.

Neugeräte zu beschaffen ist leider nochmal eine Größenordnung schwieriger als gebrauchte...

 

[Socram]

Evtl. für den ein oder anderen interessant:
Bevor ich den Thread gesehen habe, hatte ich mir ein gebrauchtes (US) Arris SB8200 gekauft, um es im VF West Netz zu betreiben.
Aussage vom Twitter Kundendienst war, dass es kompatibel sei; weitere Recherchen hatte ich damals (im Urlaub) nicht gemacht.

Nachdem dann irgendwann mal endlich das Gerät aus dem alten VF Konto entfernt wurde (was aus irgendeinem Grund anfangs ein riesengroßer Akt war), hat sich das Modem bei mir genauso verhalten wie beim Thread-Ersteller.
Mehrere Entstörungsversuche haben nicht geholfen, und nachdem es anfangs bei der Hotline hieß "ja das Gerät ist kompatibel und wurde vorher in BaWü betrieben, das hat auch mein Vorgesetzter bestätigt", war es bei einem späteren Anruf dann angeblich nicht mehr kompatibel.

Der Trick mit dem Ändern der Frequenz-/Regionseinstellungen per Browser Dev Tools hat bei mir nicht geklappt, die Werte wurden bei einem Neustart nicht übernommen. Als Region war "America" voreingestellt.

Ende vom Lied ist, dass ich das Gerät zurück geschickt habe.

Also heißt es auf den CableMax Tarif verzichten (das WLAN und auch LAN der Arris VF Station habe ich getestet und als mangelhaft befunden) oder es noch mal mit einem anderen Modem versuchen.
Dann aber wohl eher eines der drei Docsis 3.1 Modelle von wernerelectronic als eine Fritzbox.
Oder darauf warten, dass die VF Station irgendwann doch noch den Bridge Mode bekommt. Ha... ha.

 

[Maurice]

Das SB8200 hat @Hyco ja schon vor 2 Jahren erfolglos getestet (siehe weiter oben hier im Thread). Per SNMP konnten wir die Region auf Europa setzen, hat aber dennoch nicht funktioniert.
Dass deines angeblich schon in BW lief ist schon kurios. Hat das der Vorbesitzer behauptet / bestätigt? Dass die Seriennummer schonmal bei VF registriert war heißt nicht, dass es auch tatsächlich funktioniert hat. Vielleicht hast Du ja @Hyco's Exemplar erwischt?

Für einen ersten Test muss man Modems übrigens nicht bei VF registrieren. Synchronisieren sollte es auch so (oder eben nicht).

Fehlendes Modem / Bridge Mode ist bei mir mittlerweile auch der einzige Grund, nicht in einen schnelleren (teureren) Tarif zu wechseln. Vodafone tut sich damit keinen Gefallen.

 

[Socram]

Dass deines angeblich schon in BW lief ist schon kurios. Hat das der Vorbesitzer behauptet / bestätigt? Dass die Seriennummer schonmal bei VF registriert war heißt nicht, dass es auch tatsächlich funktioniert hat. Vielleicht hast Du ja @Hyco's Exemplar erwischt?

Dass es wirklich lief im Sinne von Internet zur Verfügung gestellt hat, bezweifle ich mittlerweile. Wahrscheinlich hing es nur so wie meines prinzipiell im Netz (der Spektrum Analyzer sah gut aus), konnte aber nicht provisioniert werden. Der Verkäufer hielt sich diesbezüglich jedenfalls verdächtig bedeckt

Dass es Hycos Exemplar war, kann natürlich theoretisch sein.
Ist nur ärgerlich, sich so lange mit dem Gerät zu beschäftigen, wenn es gar nicht funktionieren kann. Aber war ich ja auch selbst Schuld, es so schnell zu bestellen.
Auf der Pro-Seite kann ich immerhin verbuchen, ein paar Dinge über Kabelmodems gelernt zu haben ^^

 

[schneiderh]

@Maurice - Du hast mich mit diesem Thread damals zum CM8200B gebracht und es funktioniert hier bestens im Vodafone (ehemals KDG) Netz:


Du hast Recht, dass es bei Dir nicht funktioniert liegt an dem dem vorgeingestellten Channel-Plan - das ist vollkommen unabhänig davon, on es vorher schon mal bei NBN provisioniert war, oder nicht, das ist fest in der NBN Firmware drin.
Wenn ich dich richtig verstanden habe, hast du ja noch ein CM8200B mit einer Firmware, bei dem der Spektrum Analyzer verwendet werden kann, richtig?
Dann kannst du dir genau den "Cable Haunt" cablehaunt.com zu Nutze machen: Wenn ich es richtig verstehe kann man den Test-Scripts da commands auf dem CM (also nicht auf dem RG Linux Host) ausführen. Was Du machen müsstest wäre:

CM> non-vol/docsis/ds_frequency [DS FREQUENZ IN MHz]

Bei der Frequenz am Besten die nehmen, die auch dein jetziges Modem als Primary Channel verwendet
Und danach (wichtig!!!)

CM> non-vol/docsis/write

Damit wird die neue "Non-Vol-Happy-Home" gespeichert. Danach das Modem neustarten und du solltest nach dem Neustart die neu eingestellte Frequenz auch unter cmconfiguration.html sehen und das Modem sollte (wirklich sehr schnell) synchroniesieren (und danach provisonieren).

"CM>" ist der Console-Prompt des Modems und das kannst du bei den Commands wahrscheinlich weglassen. Als kleine Motivation kann ich sagen, dass das CM8200B wirklich das mit Abstand beste Modem (an meiner Leitung) ist, was ich je geteset habe (und ich hatte wirklich einige ...)

Ich selbst habe das auf anderem Weg hinbekommen und selbst so nicht getestet.

 

[Maurice]

Freut mich riesig, dass Du es tatsächlich zum Laufen bekommen hast!

Ich habe in der Tat noch zwei CM8200B in der Schublade liegen. Mit unterschiedlichen Firmware-Version, aber soweit ich mich erinnere beide mit Spectrum Analyzer. Vom Cable Haunt habe ich gehört, aber so wie ich das damals verstanden hatte verursacht das Test-Script nur einen Crash des Modems. Einen fertigen Exploit, der Code Execution ermöglicht, gibt es für das CM8200B soweit ich weiß nicht. Aber da recherchiere ich nochmal.

Darf ich fragen, auf welchem Weg Du an die CM-Console gekommen bist?

 

[schneiderh]

Einen fertigen Exploit, der Code Execution ermöglicht, gibt es für das CM8200B soweit ich weiß nicht

Ich würde sagen, damit github.com/Lyrebirds/sagemcom-fast-3890-exploit sollte es theoretisch auch beim CM8200 funktionieren.

Darf ich fragen, auf welchem Weg Du an die CM-Console gekommen bist?

Mit jeder Menge HW Hacks. Das war wirklich echt komplex - man muss gut löten können Das ist alles schon eine Weile her (~ 2 Jahre [ich war zwischenzeitlich abtrünnig: SVDSL]) als ich das gemacht habe ... wenn ich mich richtig erinnere: Zuerst SPI ausgelesen und RG console aktviert - also bootcmd geändert. Dazu brauchte man auch irgendwelche brcm (nvram-)tools und das dann wieder auf den SPI geschrieben. Dann noch den NAND dumpen und das ubifs modifizieren, dass auch der Login auf der RG-Console überhaupt angeboten wird. An alle Details kann ich mich nicht mehr erinnern .... aber es war sowohl von den Löt- also auch von den SW-Herausforderungen ziemlich aufwendig -cable haunt sieht auf den ersten Blick viel unaufwendiger aus (falls es beim CM8200B funkioniert)

 

[Maurice]

Verstehe, war also eine größere Operation. Bei mir hat das Interesse an dem Thema abgenommen, seit der Bridge-Mode bei der Vodafone Station freigegeben wurde. Diese Lösung setze ich seit zwei Jahren ein und sie funktioniert mittlerweile gut.

Laut Beschreibung der beiden POC-Exploits sind diese schon sehr spezifisch für diese Modems und eine Anpassung an andere Modelle ist aufwändig:

First, you will need the firmware for the cable modem you're going to exploit. Then, reverse engineer the firmware to find the addresses of the relevant function for building the exploit such as [...]

Die Motivation, mich nochmals so tief in dieses Rabbit Hole zu begeben ist momentan gering. Aber der Weg scheint nun klarer zu sein. Falls jemand Zeit und Lust, aber kein Modem hat: Gerne PM an mich.

[edit]
Andererseits berichtet hier tatsächlich jemand von Teilerfolg mit dem Sagemcom-Exploit:

im on the original firmware and this exploit definately works on version D31CM-PEREGRINE-1.0.0.2-GA-01-NOSH im able to telnet into it but its just a mini ecos shell not many commands and I dont know how to invoke a CLI shell

Einen Versuch ist es wert. Werde berichten.
[/edit]

 

[Maurice]

Ergebnis: Eines meiner CM8200B ist zwar anfällig für Cable Haunt, der Exploit für das Sagemcom Fast 3890 führt aber nur zum Reboot. Eine eCos-Shell bekommt man nicht. Hätte mich auch überrascht.

Solange es keine Payload speziell für dieses Modem gibt, wird man auf diesem Weg wohl leider nicht weiterkommen.

 

[schneiderh]

Ah ja: Soweit, dass man einen Modem- und vermutlich auch Firmware-spezifischen Payload braucht hatte ich gar nicht gelesen. Macht ja aber durchaus auch Sinn
Hier github.com/Lyrebirds/sagemcom-fast-3890-exploit/blob/master/README.md#exploiting-other-modems ist ja beschrieben wie man den erstellen kann, aber ich verstehe nicht so ganz, was mit "the firmware for the cable modem" gemeint ist. Sicher nicht die komplette Firnware: Die ist ist nämlich for ARM nicht für MIPS - der BRCM 3390 hat ja mehrere cores: 2 ARM Cortex A15 und einen MIPS core, der das Modem "selbst" ist (also für RF und DOCSIS) - im Fall vom CM8200 werden die ARM Cores nur für den Webserver und für das ganze Netzwerk "Gedöns" verwendet. Auf den ARM cores läuft Linux und auf dem MIPS core eCOS. Die wirkliche Modemfirmware ist cmboot(0/1).bin cmrun(0/1).bin, die während des bootens auf das Modem geladen werden (oder vielleicht auch schon von BOLT (Broadcom bootloader)). Die cmrun.bin ist auf jedenfall noch irgendwas, was irgendwie entpackt werden muss (lzma) und kein MIPS binary wie man es von eCOS erwarten sollte. Hier github.com/rikka0w0/Arris-CM8200B-Reverse-Engineering hat jemand die Firmware gedumpt - vielleicht wirst du ja daraus schlau.

 

[Maurice]

Richtig, es geht um das eCos für MIPS, das müsste man auseinandernehmen. Ich habe mich gestern etwas bei Lyrebirds eingelesen, insbesondere wie sie beim Reverse Engineering vorgegangen sind. Und ganz ehrlich, soviel Aufwand ist es mir zur Zeit nicht wert. Machbar wäre es auf diesem Weg aber sicherlich. Daher steht mein Angebot: Falls jemand tiefergehendes Know How in diesem Bereich (und Zeit) hat, dann gebe ich das Modem gerne weiter.

 

[y0r]

Mit jeder Menge HW Hacks. Das war wirklich echt komplex - man muss gut löten können [...]

Ja geil! Und da war nichts mit signierter Firmware? Das Ding hat die veränderte Software einfach gebootet?
Yay!
Bekommst damit dann theoretisch auch ein Update ohne CMTS hin?