FortiOS

Die Schwachstelle betrifft das SSL-VPN von Fortinets Betriebssystem FortiOS, das den verschlüsselten Fernzugriff auf das Netzwerk absichert. Sie liegt in der Authentifizierung: Eigentlich verlangt das System bei der Anmeldung neben Benutzername und Passwort einen zweiten Faktor in Form eines FortiToken-Codes. Durch einen Fehler in der Prüfung lässt sich diese zweite Stufe jedoch umgehen, wenn ein Nutzer die Groß- und Kleinschreibung seines Benutzernamens verändert. In diesem Fall wird der FortiToken-Code nicht mehr abgefragt, und die Anmeldung gelingt allein mit den übrigen Zugangsdaten. Damit wird der wesentliche Schutz der Zwei-Faktor-Authentifizierung wirkungslos: Ein Angreifer, der lediglich Benutzername und Passwort kennt – etwa aus einem Datenleck oder durch Phishing erbeutet – kann sich am VPN anmelden, obwohl der zusätzliche Token-Schutz aktiviert ist. Betroffen sind Umgebungen, die das SSL-VPN mit FortiToken als zweitem Faktor einsetzen.