{"id":199733,"date":"2018-01-14T00:44:00","date_gmt":"2018-01-13T23:44:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=199733"},"modified":"2023-05-02T12:49:47","modified_gmt":"2023-05-02T10:49:47","slug":"lenovo-netzwerk-switches-mit-backdoor","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/01\/14\/lenovo-netzwerk-switches-mit-backdoor\/","title":{"rendered":"Lenovo Netzwerk-Switches mit Backdoor"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" title=\"Sicherheit\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" border=\"0\" alt=\"Sicherheit\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"42\" align=\"left\" height=\"51\"\/>Kurze Meldung f\u00fcr Administratoren in Firmen, bevor Montag die Woche wieder los geht. Lenovo hat in seinen Netzwerk-Switches eine Backdoor gefunden, es besteht Handlungsbedarf.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/48a46da04bd4579ac1def3a0ac74ae7\" width=\"1\" height=\"1\"\/>Ich denke, im Privatbereich d\u00fcrfte das Thema, wie die <a href=\"https:\/\/web.archive.org\/web\/20230310083821\/https:\/\/www.lenovo.com\/de\/de\/data-center\/networking\/switches\/c\/ethernet-switches\" target=\"_blank\" rel=\"noopener\">hier<\/a> angebotenen Netzwerk-Switches, eher keine Rolle spielen. In Firmen siehe es dagegen m\u00f6glicherweise anders aus. Dort werden RackSwitch- und BladeCenter-Netzwerk-Switches mit ENOS (Enterprise Network Operating System) von Lenovo und IBM eingesetzt. <\/p>\n<h2>Backdoor seit 2004<\/h2>\n<p>Die Sicherheitsl\u00fccke wurde im Rahmen von Sicherheitsaudits von chinesischen Lenovo Ingenieuren in der ENOS-Firmware der RackSwitch- und BladeCenter-Netzwerk-Switches gefunden. <\/p>\n<blockquote>\n<p>ENOS, oder Enterprise Network Operating System, ist die Firmware, die auf einigen Lenovo und IBM RackSwitch- und BladeCenter-Switches installiert ist. <\/p>\n<p>Ger\u00e4te mit CNOS (Cloud Network Operating System) sind allerdings nicht betroffen<\/p>\n<\/blockquote>\n<p>Die Geschichte wirft dabei mal wieder ein Schlaglicht auf den Kram, den uns die Industrie als brandneu andient. Die Geschichte geht n\u00e4mlich so: Die Chinesen waren in den letzten Jahren flei\u00dfig auf Einkaufstour. Dabei hat man sich auch bei IBM bedient, die (mutma\u00dflich Insolvenz-)Reste von <a href=\"https:\/\/de.wikipedia.org\/wiki\/Nortel\" target=\"_blank\" rel=\"noopener\">Nortel Networks<\/a> im Portfolio hatten. Konkret waren dies die Ger\u00e4te, die von der Nortel Blade Server Switch Business Unit (BSSBU) betreut wurden. Dort haben Entwickler die ENOS-Firmware im Zeitraum May 2004 bis Juni 2004 modifiziert und die Backdoor eingebaut. <\/p>\n<blockquote>\n<p>Anmerkung: Das mit dem 'aus den Insolvenz-Resten' bedient, war von mir erst so ein Gedanke, da mit die Insolvenz von Nortel noch im Ged\u00e4chtnis war. Die Kollegen bei heise.de haben <a href=\"https:\/\/www.heise.de\/newsticker\/meldung\/Lenovo-findet-Backdoor-in-eigenen-Netzwerk-Switches-3940562.html\" target=\"_blank\" rel=\"noopener\">hier<\/a> aber noch einige Details ausgegraben. So wurde die Nortel Blade Server Switch Business Unit im Jahr 2006 als Blade Network Technologies (BNT) ausgegliedert (Nortel ging 2009 insolvent). BNT gab im Jahr 2010, laut heise.de, an, keine Gesch\u00e4ftsbeziehungen zu Nortel mehr zu unterhalten und die Produkte w\u00e4ren Eigenentwicklungen. Der (Saft-)Laden wurde 2010 n\u00e4mlich an IBM verkauft \u2013 und lief dann unter BLADE weiter. IBM hat das dann 2014 an Lenovo verscherbelt. Ohne die Infos von heise.de h\u00e4tte ich das nicht mehr auf die Reihe bekommen, da ich die Insolvenz von Nortel nur am Rande verfolgt habe (Leute aus der Bekanntschaft waren betroffen). 2017 haben die bei Lenovo dann mal genauer nachgeschaut, was sie da im Portfolio haben und einen Audit des Quellcodes der Firmware angesetzt.<\/p>\n<\/blockquote>\n<p>Lenovo behauptet, Nortel habe den Einbau der Hintert\u00fcr \"auf Wunsch eines BSSBU OEM-Kunden\" genehmigt. In einem <a href=\"https:\/\/support.lenovo.com\/de\/de\/product_security\/len-16095\" target=\"_blank\" rel=\"noopener\">Sicherheitshinweis<\/a> zu diesem Thema verweist Lenovo auf die Hintert\u00fcr unter dem Namen \"HP Backdoor\".<\/p>\n<p>Bei \"HP Backdoor\" handelt es sich um einen Authentifizierungs-Bypass-Mechanismus, der w\u00e4hrend eines Lenovo Security Audits in den Management-Schnittstellen der Telnet- und Serial Console sowie der SSH- und Web-Management-Schnittstellen entdeckt wurde. Allerdings ist dieser Bypass nur unter bestimmten eingeschr\u00e4nkten und unwahrscheinlichen Bedingungen m\u00f6glich. <\/p>\n<h2>Sicherheitshinweise und Update von Lenovo<\/h2>\n<p>Lenovo hat <a href=\"https:\/\/support.lenovo.com\/de\/de\/product_security\/len-16095\" target=\"_blank\" rel=\"noopener\">hier<\/a> entsprechende Sicherheitshinweise in englischer Sprache ver\u00f6ffentlicht. Die ENOS-Schnittstellen und Authentifizierungskonfigurationen sind anf\u00e4llig in folgenden Funktionen:<\/p>\n<ul>\n<li><strong>Telnet und serielle Konsole:<\/strong> Bei der Durchf\u00fchrung der lokalen Authentifizierung oder einer Kombination aus RADIUS, TACACS+ oder LDAP und lokaler Authentifizierung unter bestimmten, im Folgenden beschriebenen Umst\u00e4nden.  <\/li>\n<li><strong>Web:<\/strong> Wenn eine Kombination aus RADIUS oder TACACS+ und lokaler Authentifizierung in Kombination mit einer unwahrscheinlichen Bedingung unter bestimmten, nachfolgend beschriebenen Umst\u00e4nden durchgef\u00fchrt wird.  <\/li>\n<li><strong>SSH:<\/strong> F\u00fcr bestimmte Firmware-Varianten, die in den Monaten Mai 2004 bis Juni 2004 (nur) ver\u00f6ffentlicht wurde, wenn eine Kombination aus RADIUS oder TACACS+ und lokaler Authentifizierung unter bestimmten, nachfolgend beschriebenen Umst\u00e4nden durchgef\u00fchrt wird; <\/li>\n<\/ul>\n<p>Der verwundbare Code ist auch in neuerer Firmware noch vorhanden, wird aber nicht mehr verwendet. Andere Schnittstellen und Authentifizierungskonfigurationen sind f\u00fcr dieses Problem nicht anf\u00e4llig:<\/p>\n<ul>\n<li>SSH in der Firmware, die nach Juni 2004 ver\u00f6ffentlicht wurde, sind nicht anf\u00e4llig. <\/li>\n<li>SSH und Web, die nur eine lokale Authentifizierung verwenden, sind nicht anf\u00e4llig. <\/li>\n<li>SSH-, Web-, Telnet- und serielle Konsole, die LDAP, RADIUS oder TACACS+ ohne lokale Authentifizierung verwenden, sind nicht anf\u00e4llig.  <\/li>\n<li>Andere Management-Schnittstellen, wie z.B. SNMP, sind nicht anf\u00e4llig.<\/li>\n<\/ul>\n<p>Die Existenz dieser Mechanismen, die die Authentifizierung oder Autorisierung umgehen, ist f\u00fcr Lenovo inakzeptabel und folgt nicht der Produktsicherheit oder den Branchenpraktiken von Lenovo, so der Hersteller. Lenovo hat die Backdoor aus dem ENOS-Quellcode entfernt und aktualisierte Firmware f\u00fcr betroffene Produkte ver\u00f6ffentlicht. <\/p>\n<p>Lenovo ist nicht bekannt, dass dieser Mechanismus ausgenutzt wird, geht aber davon aus, dass seine Existenz bekannt ist. Kunden wird empfohlen, ein Upgrade auf die neue Firmware durchzuf\u00fchren, wodurch die Backdoor eliminiert wird. Weitere Details sind <a href=\"https:\/\/support.lenovo.com\/de\/de\/product_security\/len-16095\" target=\"_blank\" rel=\"noopener\">dieser Lenovo-Seite<\/a> zu entnehmen. Dort erf\u00e4hrt man auch, was zu tun ist, wenn man die Firmware nicht sofort updaten kann. Die Schwachstelle hat inzwischen die CVE-2017-3765 erhalten. (<a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/lenovo-discovers-and-removes-backdoor-in-networking-switches\/\" target=\"_blank\" rel=\"noopener\">via<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Kurze Meldung f\u00fcr Administratoren in Firmen, bevor Montag die Woche wieder los geht. Lenovo hat in seinen Netzwerk-Switches eine Backdoor gefunden, es besteht Handlungsbedarf.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[731,123,426],"tags":[3347,1105,4307],"class_list":["post-199733","post","type-post","status-publish","format-standard","hentry","category-gerate","category-netzwerk","category-sicherheit","tag-backdoor","tag-lenovo","tag-netzwerk"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199733","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=199733"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199733\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=199733"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=199733"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=199733"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}