Fortinets VPN-FortiClient verrät Anmeldedaten

[English]Die NextGeneration Endpoint Protection-Lösung von Fortinet, enthält auch einen VPN-Client. Dieser weist aber eine Schwachstelle auf, über die sich Anmeldedaten abgreifen lassen. Keine Ahnung, ob einer meiner Blog-Leser diese Software verwendet – ich stelle die Informationen aber mal hier ein.

FortiClient von Fortinet ist für Linux, Mac und Windows verfügbar und wird vom Anbieter als NextGeneration Endpoint Protection-Lösung (Antivirus) beworben. Die Software bietet einen Endgeräteschutz (Endpoint Protection) vor Bedrohungen durch neue Malware. Zudem ermöglicht die Software die Kontrolle des Software- und Hardwarebestands über die gesamte Sicherheitsstruktur hinweg. Man soll mit der Software gefährdete oder kompromittierte Hosts identifizieren können. So weit die Theorie.

Mit im Paket ist auch ein VPN-Client, der 'einen sicheren und zuverlässigen Zugriff auf Unternehmensnetzwerke und -anwendungen von praktisch jedem beliebigen, mit dem Internet verbundenen Remote-Standort aus' ermöglichen soll.

Sicherheitslücke im FortiClient

Sicherheitsforscher von SecConsult haben jetzt aber ein Security Advisory herausgegeben, in dem vor dem VPN-Client gewarnt wird. Hintergrund: Der FortiClient für Linux, Mac OSX und Windows speichert verschlüsselte VPN-Authentifizierungsdaten an nicht ordnungsgemäß gesicherten Orten.

Unter Linux oder macOS legt der FortiClient die VPN-Authentifizierungsdaten in einer Konfigurationsdatei ab. Unter Windows andern diese Daten in die Registrierung. Die Zugangsdaten für die VPN-Verbindung sind zwar verschlüsselt. Diese können aber trotzdem wiederhergestellt werden, da der Entschlüsselungsschlüssel im Programm fest codiert und bei allen Installationen gleich ist.

Normale Benutzer können daher möglicherweise die verschlüsselten Anmeldeinformationen der anderen Benutzer einsehen. Vor allem aber ist der oben erwähnte Speicher weltweit lesbar, was den Grundstein für die Wiederherstellung der Authentifizierungsdaten legt.

Die Sicherheitslücke (CVE-2017-14184) betrifft FortiClient 5.6.0 und frühere Versionen auf Windows und macOS, sowie den FortiClient 4.4.2334 und früher für Linux. Fortinet hat zwischenzeitlich aber ein Advisory und Updates für die betroffenen Programme freigegeben. (via)