Abo
  • Services:
Anzeige
Ein kleines Stück Python-Code erlaubt den unautorisierten Zugriff auf Fortigate-Firewalls.
Ein kleines Stück Python-Code erlaubt den unautorisierten Zugriff auf Fortigate-Firewalls. (Bild: Screenshot Hanno Böck/Golem.de)

Fortigate-Firewalls: SSH-Hintertür auch bei Fortinet?

Ein kleines Stück Python-Code erlaubt den unautorisierten Zugriff auf Fortigate-Firewalls.
Ein kleines Stück Python-Code erlaubt den unautorisierten Zugriff auf Fortigate-Firewalls. (Bild: Screenshot Hanno Böck/Golem.de)

Eine Lücke in älteren Versionen des Systems auf Fortinet-Firewalls sieht verdächtig wie eine Hintertür aus. Behoben wurde das Problem bereits 2014, Fortinet hat die Änderung damals offenbar verschwiegen.

Auf der Mailingliste Full Disclosure wurde gestern ein Skript gepostet, mit dem sich Angreifer unautorisierten Zugang zu Firewalls aus der Fortigate-Serie des Herstellers Fortinet verschaffen können. Das Skript nutzt dabei offenbar einen undokumentierten Mechanismus in älteren Versionen der SSH-Implementierung von Fortinet aus, der verdächtig wie eine Hintertür aussieht. Es ist der zweite derartige Vorfall in jüngster Zeit - kurz vor Weihnachten musste der Hersteller Juniper bereits eingestehen, dass sich in seinen Produkten mehrere Hintertüren befanden.

Anzeige

Die Full-Disclosure-Mail, die die Sache ins Rollen brachte, besteht lediglich aus einem kurzem Python-Skript, als einzige kurze Erklärung steht dort "SSH-Hintertür für FortiGate OS Version 4.x bis 5.0.7". Ralph-Philipp Weinmann, der bereits bei der Analyse der Juniper-Hintertüren eine wichtige Rolle gespielt hatte, bestätigte kurze Zeit später auf Twitter die Hintertür.

Lücke bis 2014 in FortiOS vorhanden

Die betroffenen Versionen des FortiOS-Betriebssystems sind alle relativ alt. Die Version 5.0.7 wurde im August 2014 veröffentlicht und im November durch die Version 5.0.8 abgelöst. Offenbar enthielten die früheren Versionen eine zusätzliche Authentifizierungsmethode für SSH, bei der man sich mittels eines Challenge-Response-Mechanismus mit einem Passwort einloggen kann. Das Passwort lautet "FGTAbc11*xy+Qqz27". Da es sich um einen eigenen, nicht standardisierten Authentifizierungsmechanismus handelt, funktioniert das Login mit einem gewöhnlichen SSH-Client nicht.

Fortinet bestreitet, dass es sich bei der gefundenen Lücke um eine Hintertür handelt. "Dies war keine Hintertür, sondern ein Management-Authentifizierungsproblem", heißt es in einem Statement, das Fortinet auf seiner Webseite veröffentlicht hat. Entdeckt worden sei das Problem von Fortinets eigenem Security-Team, ein Patch sei bereits im Juli 2014 bereitgestellt worden. Weitere Fragen, die wir Fortinet gestellt haben, blieben bislang unbeantwortet.

Kunden wurden nicht informiert

Was genau Fortinet mit einem Management-Authentifizierungsproblem meint, ist unklar. Fortinet verweist auf ein Security-Advisory, das jedoch ein Datum vom 12. Januar 2016 trägt. Auf jeden Fall klar sein dürfte damit, dass Fortinet den Vorfall 2014 verschwiegen hat und die Nutzer der Fortigate-Geräte nicht informiert wurden. In den Release Notes von FortiOS 5.0.8 fanden wir keinerlei Hinweise auf eine SSH-Sicherheitslücke.

Der gesamte Vorfall fällt in eine Zeit, in der Fortinets Konkurrent Juniper gerade darum ringt, eine plausible Erklärung für die Hintertüren zu finden, die in dessen Produkten gefunden wurden. Kurz vor Weihnachten hatte Juniper erklärt, dass zwei Hintertüren in seinem System ScreenOS gefunden wurden. Bei einer näheren Analyse stellte sich jedoch heraus, dass eine dieser Hintertüren, die auf dem NSA-Zufallszahlengenerator Dual EC DRBG basiert, offenbar nur ausgetauscht wurde und bereits vorher mit anderen Parametern vorhanden war. Junipers Erklärungen für diesen Vorfall waren alles andere als glaubwürdig und das Problem ist nach wie vor nicht behoben.


eye home zur Startseite
bbk 13. Jan 2016

Bei Forti ist alles möglich ;).Und nachdem der Fortimanager damals immer auf magische...



Anzeige

Stellenmarkt
  1. LR Health & Beauty Systems GmbH, Ahlen
  2. Bosch Software Innovations GmbH, Berlin
  3. SSI Schäfer Noell GmbH, Dortmund
  4. über Robert Half Technology, Stuttgart


Anzeige
Blu-ray-Angebote
  1. (u. a. The Knick, Person of Interest, Shameless, The Wire)
  2. (u. a. Jurassic World, Creed, Die Unfassbaren, Kingsman, John Wick, Interstellar, Mad Max)
  3. (u. a. Jurassic World, Die Unfassbaren, Creed, Interstellar, Mad Max Fury Road)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. SpaceX

    Warum Elon Musks Marsplan keine Science-Fiction ist

  2. Blau

    Prepaid-Kunden bekommen deutlich mehr Datenvolumen

  3. Mobilfunk

    Blackberry entwickelt keine Smartphones mehr

  4. Nvidia und Tomtom

    Besseres Cloud-Kartenmaterial für autonome Fahrzeuge

  5. Xavier

    Nvidias nächster Tegra soll extrem effizient sein

  6. 5G

    Ausrüster schweigen zu Dobrindts Supernetz-Ankündigung

  7. Techbold

    Gaming-PC nach Spiel, Auflösung und Framerate auswählen

  8. Besuch bei Dedrone

    Keine Chance für unerwünschte Flugobjekte

  9. In the Robot Skies

    Drohnen drehen einen Science-Fiction-Film

  10. Corelink CMN-600

    ARMs Interconnect macht 128 Kern-Chips möglich



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mi Notebook Air im Test: Xiaomis geglückte Notebook-Premiere
Mi Notebook Air im Test
Xiaomis geglückte Notebook-Premiere
  1. Mi Notebook Air Xiaomi steigt mit Kampfpreisen ins Notebook-Geschäft ein
  2. Xiaomi Mi Band 2 im Hands on Fitness-Preisbrecher mit Hack-App
  3. Xiaomi Hugo Barra verkündet Premium-Smartphone

Rocketlab: Neuseeland genehmigt Start für erste elektrische Rakete
Rocketlab
Neuseeland genehmigt Start für erste elektrische Rakete
  1. Osiris Rex Asteroid Bennu, wir kommen!
  2. Raumfahrt Erster Apollo-Bordcomputer aus dem Schrott gerettet
  3. Startups Wie Billig-Raketen die Raumfahrt revolutionieren

Recruiting: Uni-Abschluss ist nicht mehr das Wichtigste
Recruiting
Uni-Abschluss ist nicht mehr das Wichtigste
  1. Friends Conrad vermittelt Studenten für Serviceleistungen
  2. IT-Jobs Bayerische Firmen finden nicht genügend Programmierer
  3. Fest angestellt Wie viele Informatiker es in Deutschland gibt

  1. Re: Und was bewirkt die Verwaltungsanordnung?

    nachgefragt | 15:37

  2. Re: bla bla Terrorismus bla

    M_Q | 15:37

  3. Re: Preise

    chewbacca0815 | 15:37

  4. Re: Sehr überraschend

    DetlevCM | 15:36

  5. Re: Das erste Land...

    Oktavian | 15:36


  1. 15:04

  2. 14:38

  3. 14:31

  4. 14:14

  5. 13:38

  6. 13:00

  7. 12:20

  8. 12:02


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel