FortiBleed: Logins til 74.000 Fortinet-firewalls er lækket

I sidste uge kom det frem, at en kriminel gruppe har samlet loginoplysninger til omkring 74.000 Fortinet-enheder, herunder firewalls og VPN-gateways. Sagen har fået navnet FortiBleed. Sikkerhedsforskeren Kevin Beaumont vurderer, at lækket dækker omkring halvdelen af alle Fortinet-firewalls, som kan nås fra internettet. Bruger I en FortiGate til VPN eller fjernadgang, bør den tjekkes nu, også selvom den er opdateret.

Angriberne knækkede koderne fra firewallens egne filer

Ifølge sikkerhedsfirmaet Arctic Wolf har angriberne systematisk trukket konfigurationsfiler ud af FortiGate-enheder på internettet. Derefter har de knækket de adgangskoder, der ligger gemt i filerne som hashes. En hash er en slags kodet fingeraftryk af koden. Mange enheder gemmer stadig koderne med en ældre og svagere metode, SHA-256. Den kan knækkes med brute force, altså ved automatisk at prøve et stort antal gæt.

Data blev opdaget, fordi gruppen ved et uheld lod en server stå åben. Det var forskeren Volodymyr Diachenko, der fandt den. Ifølge ham opsnappede gruppen hashes fra VPN-logins og knækkede dem på en klynge med 45 grafikkort, skriver Help Net Security. Koderne brugte gruppen derefter til at komme videre ind i virksomhedernes Active Directory, fortæller han. Active Directory er den brugerdatabase, der styrer logins til pc'er og servere i et Windows-netværk.

Sikkerhedsfirmaet Hudson Rock har talt 73.932 unikke firewall-adresser i 194 lande og 21.632 domæner i datasættet. Ifølge BleepingComputer indeholder det blandt andet brugernavne, e-mailadresser og adgangskoder i klartekst.

Fortinet peger på svage og genbrugte koder, ikke en ny sårbarhed

Fortinet skrev i fredags, at der ikke er tale om en ny sårbarhed i deres produkter. Fortinet vurderer, at angriberne genbruger koder fra tidligere hændelser og bruger brute force mod enheder med svage koder og uden MFA. MFA betyder, at et login også skal bekræftes med noget andet end koden, fx en app på telefonen.

Fortinet er ved at kontakte de berørte kunder og skriver, at det bliver afsluttet i løbet af de kommende dage. Har I ikke hørt fra Fortinet endnu, betyder det altså ikke, at I går fri. Og en opdatering alene løser ikke problemet: En lækket kode virker også på en firewall med den nyeste software.

Den stærkere hashing virker først, når administratorerne har logget ind igen

Fortinet anbefaler at opgradere til en aktuel udgave af FortiOS 7.4, 7.6 eller 8.0. De versioner understøtter PBKDF2, som er en nyere og stærkere måde at gemme administratorkoder på end SHA-256. Ifølge Arctic Wolf kom PBKDF2 med FortiOS 7.2.11, 7.4.8 og 7.6.1.

Der er dog en hage ved det. Efter opgraderingen bliver de eksisterende administratorkoder liggende som SHA-256-hashes, indtil den enkelte administrator logger ind igen. Arctic Wolf anbefaler derfor, at alle administratorer logger ind mindst én gang efter opgraderingen. Selv da ligger de gamle hashes ifølge Arctic Wolf stadig i en skjult indstilling. Fortinet anbefaler at fjerne de gamle kodeindstillinger med indstillingen login-lockout-upon-weaker-encryption.

Det kan I gøre nu

Har I en FortiGate, så gå punkterne her igennem, eller bed jeres IT-leverandør om at bekræfte, at de er gjort. De bygger på råd fra Fortinet og fra den amerikanske cybersikkerhedsmyndighed CISA, som udsendte en advarsel 18. juni.

• Luk firewallens administration fra internettet. Fortinet kalder det den bedste løsning. Kan det ikke ske med det samme, så begræns adgangen til få kendte adresser.
• Afslut alle aktive VPN- og administratorsessioner, og skift alle VPN- og administratorkoder.
• Slå MFA til på alle administrator- og VPN-konti. CISA anbefaler phishing-resistent MFA, altså en type, der ikke kan narres af en falsk login-side.
• Led efter ukendte konti som forticloud, fortiuser, fortinet-support og fortinet-tech-support, og efter ændringer i opsætningen, som ingen har godkendt.
• Gennemgå logs fra firewall, VPN og domænecontrollere (de servere, der styrer Active Directory) for usædvanlige logins.
• Opgrader til en aktuel 7.4, 7.6 eller 8.0, og sørg for, at alle administratorer logger ind bagefter.

Vi kan hjælpe med IT-sikkerhedsrådgivning, fx en gennemgang af fjernadgang, firewall og MFA, som jeres IT-leverandør kan arbejde ud fra.

Kilder

• Active FortiBleed Campaign Impacting Fortinet Devices Across 194 Countries, Arctic Wolf
• CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure, CISA
• 74,000 Fortinet firewall credentials exposed in FortiBleed data leak, Help Net Security
• FortiBleed leak exposes Fortinet VPN credentials for 73,000 devices, BleepingComputer
• Analysis of Reported Credential Compromise of FortiGate Devices, Fortinet