Barracuda baute Hintertüren in Netzwerk-Hardware ein

Ein Wiener Sicherheitsforscher hat vor kritischen Schwachstellen in Netzwerkausrüstung von Barracuda Networks gewarnt. Sie verfügt über undokumentierte und nicht einfach zu löschende Benutzerkonten mit schwachen Passwörtern. Diese waren offenbar als Hintertüren für Fernwartung durch den Hersteller gedacht, ließen sich aber auch für Angriffe nutzen. Laut CERT.at sind fast alle Barracuda-Produkte gefährdet, und die Einrichtung empfiehlt deshalb eine Sicherung der Geräte durch eine zusätzliche Firewall.

Stefan Viehböck von SEC Consult Vulnerability Lab entdeckte Konten mit Nutzernamen wie „product“, „support“, „websupport“ und „root“. Sie seien nur durch schwache Passwörter gesichert gewesen, die er mit wenig Aufwand ermitteln konnte, schreibt er. Über „product“ sei ihm das Log-in und der Zugriff auf die MySQL-Datenbank des Geräts gelungen. Einem Angreifer hätte das erlaubt, neue Nutzer mit Administrationsrechten hinzuzufügen.

Von den Sicherheitsproblemen betroffen sind Barracuda Spam and Virus Firewall, Web Filter, Message Archiver, Web Application Firewall, Link Balancer, Load Balancer, SSL VPN sowie CudaTel. Sie erlauben SSH-Zugriffe aus der Ferne, wenn auch eingeschränkt auf bestimmte IP-Bereiche. Diese sind allerdings nicht nur dem Hersteller Barracuda zugeordnet, sondern auch zahlreichen anderen Firmen. Sicherheitsblogger Brian Krebs geht von „potenziell Hunderten von Firmen“ aus, die über Server in den gleichen Adressbereichen verfügen und somit ebenfalls die Hintertüren nutzen könnten.

Ein Barracuda-Sprecher erklärte gegenüber ZDNet.com, das Unternehmen habe „keine Kenntnis von tatsächlichen Vorkommnissen, bei denen unsere Kundensupport-Tools für bösartige Zwecke eingesetzt wurden“. Barracuda hat inzwischen die neue Sicherheitsdefinition 2.0.5 veröffentlicht und rät dringend, alle betreffenden Geräte sofort mit ihr zu aktualisieren. „Während dieses Update mögliche Angriffsvektoren drastisch verringert“, heißt es dazu, „kann unsere Supportabteilung jegliche Fragen zur völligen Abschaltung dieser Funktionalität beantworten, wenn der Supportzugriff nicht erwünscht ist.“

Stefan Viehböck sieht die Probleme damit noch nicht als vollständig behoben an. Der „root“-Account verfüge noch immer über keinen ausreichenden Passwortschutz. „In sicheren Umgebungen ist die Nutzung von Geräten mit Hintertüren absolut nicht wünschenswert“, erklärte er. „Selbst dann nicht, wenn nur der Hersteller auf sie zugreifen kann.“

[mit Material von Tom Brewster, TechWeekEurope]