Kritisches Sicherheitsloch in Kerio WinRoute

Eine Schwachstelle in der Kerio WinRoute Personal Firewall ermöglicht Angreifern das Abhören von Nutzername und Passwort, wenn WinRoute als Authentifizierungs-Proxy verwendet wird. Das berichtet der russische Experte "3APA3A" in einem Posting auf der Mailingliste Full-Disclosure.

Das Problem besteht darin, dass WinRoute in seiner Funktion als Authentifizierungs-Proxy die Header von Browser-Anfragen unzureichend schützt. Der Browser übergibt bei einer Anfrage Username und Passwort im Header an den WinRoute-Proxy, welcher diese aber nahezu ungeschützt weitergibt: WinRoute tauscht lediglich den ersten Buchstaben von Proxy-bezogenen Headern gegen ein "X" aus und encodiert Username und Passwort als base64. WinRoute übergibt an den entfernten Webserver beispielsweise einen Header wie diesen:

Xroxy-Authorization: Basic dGVzdDp0ZXN0aW5n

Durch Dekodierung des Strings erhalten Administratoren des Webservers die Login-Daten des WinRoute-Nutzers (in diesem Fall "test/testing"). Wenn der WinRoute-Proxy die Windows-Authentifizierung nutzt (was durchaus üblich ist), werden möglicherweise Zugangsdaten zum eigenen Netzwerk an fremde Webserver weitergegeben. Einen Patch gegen das Problem gibt es momentan noch nicht, 3APA3A empfiehlt, beim Einsatz von WinRoute die Proxy-Authentifizierung abzuschalten. (pab)