Passportal ist ein Zugangsdaten-Management von N-able, dem früheren SolarWinds MSP. Das Unternehmen vermarktet die Lösung vor allem an Managed Service Provider und IT-Dienstleister. Nach Angaben auf der N-able-Website wird Passportal von rund 2.500 MSPs und 165.000 kleinen und mittleren Unternehmen genutzt.
Wie James Arnott, Gründer von Bay Area Labs, gegenüber Dark Reading erklärte, beruhte das Problem auf der Arbeitsweise der Browser-Erweiterung. Diese habe eingehende Nachrichten ohne ausreichende Prüfung akzeptiert. Sie kontrollierte demnach weder, von welcher Website eine Nachricht stammte, noch deren Inhalt. Dadurch konnte eine schädliche Website — oder auch eine legitime Seite mit eingeschleuster Werbung oder einem manipulierten Iframe — Befehle an Passportal senden.
Laut Bay Area Labs reichte dabei eine Nachricht wie window.postMessage mit der Methode „getPasswords“, damit Passportal mit Zugriffstoken und Aktualisierungstoken antwortete. Das Zugriffstoken enthielt den geheimen Schlüssel. Mit einem solchen Token konnte ein Angreifer nach Arnotts Darstellung sämtliche Zugangsdaten in einem Passportal-Tresor auflisten und entwenden. Zudem ließen sich bei Bedarf auch zeitbasierte Einmalpasswörter (TOTP) abrufen, um auf besonders sensible Konten einer Organisation zuzugreifen.
Auch das Aktualisierungstoken war in diesem Szenario wertvoll. Es erlaubt, nach Ablauf eines Zugriffstokens ein neues anzufordern. Während Zugriffstokens nur kurz gültig sind, bleibt das Aktualisierungstoken in Passportal laut Arnott 100 Tage lang nutzbar. Damit war nicht nur ein einmaliger Zugriff möglich, sondern ein dauerhafter Zugriff auf den Passwort-Tresor.
Die Tragweite ergibt sich auch aus dem typischen Einsatzumfeld von Passportal. Arnott verwies darauf, dass das Produkt häufig bei Dienstleistern der Lieferkette eingesetzt werde. Kompromittiere ein Angreifer etwa einen MSP, der 50 Organisationen betreut, habe dieser MSP sehr wahrscheinlich weitreichenden privilegierten Zugriff auf die nachgelagerten Kunden. Zusätzliche Risiken sieht Arnott bei der Funktion „Site“, mit der Anbieter Passportal unter eigener Marke weiterreichen können. Das von ihm beschriebene Szenario für noch weiter entfernte Kunden hat er allerdings nach eigenen Angaben nicht praktisch getestet.
N-able reagierte innerhalb weniger Stunden nach Arnotts Bestätigung der Ergebnisse mit einem Patch. Die Korrektur ergänzt eine Prüfung, die sicherstellen soll, dass Anfragen tatsächlich von der Browser-Erweiterung stammen und nicht von beliebigen Websites oder iframes. Arnott empfiehlt Administratoren dennoch, Erweiterungsversionen aktiv zu fixieren, um sicherzustellen, dass kein Arbeitsplatz mit einer veralteten Version zurückbleibt. Als Beispiel nannte er die Google-Workspace-Administrationskonsole, in der sich Erweiterungen auf bestimmte Versionen festlegen und anschließend zentral aktualisieren lassen.
Aus Arnotts Sicht ist das Grundproblem damit aber nicht vollständig behoben. Passportal entschlüsselt Passwörter weiterhin auf dem Server und nutzt keine Ende-zu-Ende-Verschlüsselung. Gegenüber Dark Reading sagte N-able dazu: „Wir verpflichten uns der fortlaufenden Sicherheit und Integrität von Passportal und prüfen kontinuierlich weitere Maßnahmen zur Härtung.“ Arnott kritisiert hingegen, es gebe aus seiner Sicht keinen guten Grund, Passwörter auf dem Server zu entschlüsseln. Das vergrößere die Angriffsfläche deutlich gegenüber Passwortmanagern, die solche Prozesse lokal ausführen.