SSH-Hintertür auch bei Fortinet?

Zusammenfassung

Im Januar 2016 tauchte auf Full Disclosure ein Python-Skript auf, das unautorisierten SSH-Zugang zu Fortinets FortiGate-Firewalls der Versionen 4.x bis 5.0.7 verschaffte. Der undokumentierte Mechanismus sah verdächtig wie eine Hintertür aus; Fortinet hatte das Problem bereits 2014 still behoben. Kurz zuvor hatte Juniper eingestehen müssen, dass seine Produkte mehrere Hintertüren enthielten.

Ideen

• Ein fest eingebauter Zugang umging die normale Authentifizierung.
• Stilles Beheben ohne Hinweis lässt Kunden über ihr Risiko im Unklaren.
• Ralf-Philipp Weinmann bestätigte die Hintertür kurz nach der Veröffentlichung.

Einsichten

• Undokumentierte Zugänge sind von Hintertüren nicht zu unterscheiden, egal wie sie gemeint waren.
• Transparenz bei Sicherheitskorrekturen ist Teil der Produktqualität.

Fakten

• Betroffen waren FortiOS 4.x bis 5.0.7.
• Fortinet hatte die Änderung 2014 ohne Hinweis eingespielt.
• Fortinet sprach von einem „Management-Authentifizierungsproblem“ und einem Patch vom Juli 2014.
• Die Release Notes von FortiOS 5.0.8 erwähnten keine SSH-Lücke.

Referenzen

• g: SSH-Hintertür auch bei Fortinet?

Kritik

• Die Meldung kann Fortinets Absicht nicht klären und lässt die Frage nach dem Zweck offen.

Empfehlungen

• Mache SSH- und Weboberflächen von Firewalls nur aus einem Managementnetz erreichbar.
• Behandle stillschweigende Sicherheitskorrekturen als Warnsignal bei der Herstellerauswahl.

Originalartikel lesen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.