Lenovo vindt 'HP backdoor' uit 2004 in eigen switches

Het gaat om een voorziening om de authenticatie te omzeilen voor bepaalde modellen RackSwitch en BladeCenter-switches. Deze netwerkapparatuur is via een overnamedeal met IBM overgeheveld naar Lenovo, nadat die fabrikant op zijn beurt in 2010 het bedrijf BLADE Network Technologies (BNT) had overgenomen. BNT is de in 2006 afgestoten Nortel-divisie voor server-switches.

Volledige beheertoegang

Lenovo meldt in zijn security-advisory over deze backdoor dat een aanvaller onder specifieke omstandigheden toegang kan krijgen tot de beheerinterface van de switch. Daarmee zijn dan instellingen te wijzigen waardoor dataverkeer valt af te tappen, netwerkfunctionaliteit valt te verstoren en de verbonden serverinfrastructuur op subtiele wijze kan worden gesaboteerd.

Hiervoor is wel lokale toegang tot de kwetsbare switches nodig, maar in combinatie met technieken als RADIUS en TACAS+ valt er ook via het web toegang te verkrijgen. Het gaat niet om een geheim admin-account, maar om een omzeiling van het authenticatiesysteem, meldt Bleeping Computer.

De ernst is ‘hoog’ en Lenovo heeft nieuwe firmware uitgebracht waaruit deze kwetsbaarheid is verwijderd. Daarnaast draagt het bedrijf beperkende maatregelen aan die gebruikers dienen te nemen. De Chinese ICT-leverancier heeft de backdoor ontdekt dankzij een security-audit van de broncode, waarbij de revisies van de software ook zijn doorgelicht.

Op verzoek van OEM-klant

Uit die analyse blijkt dat de backdoor in 2004 is toegevoegd aan ENOS. Lenovo merkt op dat deze ‘authenticatie-omzeiling’ is geautoriseerd door toenmalig ENOS-eigenaar Nortel en dat dit is gedaan op verzoek van een OEM-afnemer van de firma. Deze niet bij naam genoemde BSSBU-klant (blade server switch business unit) voerde de serverswitches onder eigen naam.

De Britse ICT-nieuwssite The Register wijst er op dat HP vroeger een reseller was van Nortels switches. Lenovo’s benaming van de bewust aangebrachte security-inbreuk als ‘HP backdoor’ geeft een duidelijk signaal af. Het is onduidelijk hoe een OEM-verzochte en leveranciersgeautoriseerde backdoor in de complete productreeks terecht is gekomen.