Fortinet-Appliances sind durch ein fest eingestelltes Passwort gefährdet das es dem Administrator ermöglicht über SSH auf die Geräte zuzugreifen. Es wird behauptet; dass es sich bei dieser Sicherheitslücke um eine Hintertür handelt.
Ältere Versionen von deren Betriebssystem FortiOS enthalten einen SSH-Zugang mit fest eingestelltem Passwort der Administrationrechte und dadurch volle Kontrolle über die Geräte ermöglicht. Laut Fortinet wurde die Lücke bereits im Juli 2014 mit einem Patch für die betroffenen Geräte geschlossen. Die Firma schätzt das Risiko eines Angriffs dennoch als "hoch" ein.
Nun ist auf der Security-Mailingliste Full Disclosure ein funktionierender Exploit aufgetaucht. Anfällig sind alle FortiOS-Versionen von 4․3․0 bis einschließlich 5․07 ? erschienen sind diese zwischen November 2012 und Juli 2014. Bei diesen Versionen nutzt das Konfigurations-Tool FortiManager das fest eingestellte SSH-Passwort.
Über Twitter lies Fortinet verlauten, bei der Sicherheitslücke handele es sich nicht um eine Hintertür. Die Firma bezeichnet die Lücke als "Anmelde-Problem der Management-Umgebung". Man habe dieses bei einer routinemäßigen Sicherheitsüberprüfung entdeckt. Nach eingehender Analyse gebe es keine Hinweise darauf, dass der Lücke böse Absichten zu Grunde lägen ? weder auf Seiten von Fortinet-Mitarbeitern noch von Dritten.
Kommentare