What’s new with FortiOS 6.2: Update issue with certificate for WebUI

Recently we have had a few support cases where a customer was unable to log in to the firewall via WebUI after the firmware update. But SSH access worked fine.

It turned out that during the update process the server certificate used for the WebUI is lost.

Config with v6.0.4 (it does not happen with „self-signed“ only):

config system global
set admin-server-cert "self-signed"
end
„What’s new with FortiOS 6.2: Update issue with certificate for WebUI“ weiterlesen

FortiGate SSLVPN Update-Empfehlung

Auf dem FortiGate wurden einige Schwachstellen im SSLVPN Portal bekannt. Diese reichen von Weiterleitungen durch Cross-Site-Scripts (XSS) bis hin zum Download Systemdateien und das Zurücksetzen von Benutzerkennwörtern.

FortiGate SSL VPN web portal login redir XSS vulnerability (FG-IR-17-242, CVE-2017-14186)
Unauthenticated SSL VPN users password modification (FG-IR-18-389, CVE-2018-13382)
FortiOS system file leak through SSL VPN via specially crafted HTTP resource requests (FG-IR-18-384, CVE-2018-13379)

„FortiGate SSLVPN Update-Empfehlung“ weiterlesen

„Finger weg von HTTPS?“ – Ist SSL Interception fahrlässig?

Kürzlich wurden wir von einem Reseller zu unserer Meinung zu folgendem Heise-Artikel gefragt: Sicherheitsforscher an AV-Hersteller: „Finger weg von HTTPS“.

Der Artikel klingt zugegebenermassen wirklich nicht gerade vertrauenserweckend. Die Fortigates sind im Artikel namentlich nicht benannt. Und eine Konfigurationsmöglichkeit haben wir auf der Fortigate hierfür auch nicht gefunden. So stellt sich natürlich die Frage, wie die Fortigate sich bei der SSL Interception genau verhält. Ist es „fahrlässig“ die SSL Interception („deep inspection“) der Fortigate zu aktivieren? Führt diese Konfiguration zu „dramatischen Sicherheitsproblemen“?

Uns blieb nichts anderes übrig, als den guten alten Packetsniffer hervor zu kramen, eine Fortigate mit dem SSL-Profile „Deep Inspection“ zu versehen und dann die SSL Negotiation sowohl beim Client als auch auf dem WAN-Interface der Fortigate (also da, wo die Fortigate die eigene SSL Verbindung aufbaut) mitzusniffen.

„„Finger weg von HTTPS?“ – Ist SSL Interception fahrlässig?“ weiterlesen

OpenSSL Heartbleed Bug Informationen

Hier finden Sie Informationen zu der OpenSSL Schwachstelle und Herstellerinformationen.

„Offizielle“ Webseiten
http://heartbleed.com/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160

Testseiten
http://filippo.io/Heartbleed/
https://www.ssllabs.com

Betroffene OpenSSL Versionen
OpenSSL 1.0.1 through 1.0.1f (inclusive) are vulnerable
OpenSSL 1.0.1g is NOT vulnerable
OpenSSL 1.0.0 branch is NOT vulnerable
OpenSSL 0.9.8 branch is NOT vulnerable

„OpenSSL Heartbleed Bug Informationen“ weiterlesen

MS-SecurityUpdate verursacht SSLVPN-Probleme….

Am 10. Januar 2012 hat MS ein SecurityUpdate veröffentlicht (http://technet.microsoft.com/en-us/security/bulletin/ms12-006 – KB2585542 ), welches ein Problem beim SSL 3.0 und TLS 1.0 beheben soll.

Dummerweise macht das SSLVPN von Fortinet (im Browser Mode) Probleme, wenn dieses Update installiert ist. Wird das SSLVPN-Portal aufgerufen, wird das Zertifikat der Fortigate zwar noch geprüft, danach kann die Webseite jedoch nicht mehr aufgerufen werden.

Die aktuelle Aussage von Fortinet dazu:
We know about this issue and engineering is working on fixed version.
It could be released next week, but can’t guarantee it.

You can follow this Microsoft article to disable mentioned patch:
http://support.microsoft.com/kb/2643584 or use another browser for accessing VPN portal.

„MS-SecurityUpdate verursacht SSLVPN-Probleme….“ weiterlesen