Unsichere Backdoors bei Barracuda Networks nachgewiesen

NetzwerkeSicherheitSicherheitsmanagement

Ein Wiener Experte hat undokumentierte Nutzerkonten mit schwachen Passwörtern gefunden. Sie sollten der Fernwartung durch den Hersteller dienen. Das österreichische CERT empfiehlt die Sicherung der Geräte durch eine zusätzliche Firewall. Barracuda hat inzwischen ein Update bereitgestellt.

Der Wiener Sicherheitsforscher Stefan Viehböck hat vor erheblichen Schwachstellen in Netzwerkausrüstung von Barracuda Networks gewarnt. Die Produkte verfügten über undokumentierte und schwer zu löschende Benutzerkonten mit schwachen Passwörtern. Sie waren offenbar als Hintertüren für Fernwartung durch den Hersteller gedacht, ließen sich aber auch für Angriffe nutzen. Laut CERT.at sind fast alle Barracuda-Produkte gefährdet. Die Einrichtung empfiehlt deshalb eine Sicherung der Geräte durch eine zusätzliche Firewall.

baaracuda-networks-loadbalancer-300

Stefan Viehböck von SEC Consult Vulnerability Lab entdeckte Konten mit Nutzernamen wie “product”, “support”, “websupport” und “root”. Sie seien nur durch schwache Passwörter gesichert gewesen, die er mit wenig Aufwand ermitteln konnte, schreibt er. Über “product” sei ihm das Log-in und der Zugriff auf die MySQL-Datenbank des Geräts gelungen. Ein Angreifer hätte auf diese Weise neue Nutzer mit Administrationsrechten hinzufügen können.

Von den Sicherheitsproblemen betroffen sind die Barracuda-Produkte Spam and Virus Firewall, Web Filter, Message Archiver, Web Application Firewall, Link Balancer, Load Balancer, SSL VPN sowie CudaTel. Sie erlauben SSH-Zugriffe aus der Ferne, wenn auch eingeschränkt auf bestimmte IP-Bereiche. Diese sind allerdings nicht nur dem Hersteller Barracuda zugeordnet, sondern auch zahlreichen anderen Firmen.

Sicherheitsblogger Brian Krebs geht von “potenziell Hunderten von Firmen” aus, die über Server in den gleichen Adressbereichen verfügen und somit ebenfalls die Hintertüren nutzen könnten. Ein Barracuda-Sprecher erklärte gegenüber ZDNet.com, das Unternehmen habe “keine Kenntnis von tatsächlichen Vorkommnissen, bei denen unsere Kundensupport-Tools für bösartige Zwecke eingesetzt wurden”.

Barracuda hat inzwischen die Sicherheitsdefinition 2.0.5 veröffentlicht und rät dringend, alle betreffenden Geräte zu aktualisieren. “Während dieses Update mögliche Angriffsvektoren drastisch verringert kann unsere Supportabteilung jegliche Fragen zur völligen Abschaltung dieser Funktionalität beantworten, wenn der Supportzugriff nicht erwünscht ist.”

Stefan Viehböck sieht die Probleme damit noch nicht als vollständig behoben an. Der “root”-Account verfüge noch immer über keinen ausreichenden Passwortschutz. “In sicheren Umgebungen ist die Nutzung von Geräten mit Hintertüren absolut nicht wünschenswert”, erklärte er. “Selbst dann nicht, wenn nur der Hersteller auf sie zugreifen kann.”

[mit Material von Tom Brewster, TechWeekEurope]