Streit um Sicherheitslücke in Unreal-Engine (Update)

Disput zwischen Epic Games und PivX Solutions

Nachdem das amerikanische Unternehmen PivX Solutions eine Sicherheitslücke in der von Epic Games entwickelten Unreal-Engine festgestellt hat, scheint ein Streit zwischen den beiden Unternehmen über die Veröffentlichung dieser Probleme entbrannt zu sein. Laut diversen Berichten plante Epic Games vorübergehend sogar, PivX auf Grund der Veröffentlichung der Probleme zu verklagen.

Auf Grund der Lücke sei es für Angreifer möglich, Attacken gegen Game-Server durchzuführen, unter Umständen aber auch direkt auf PCs von Spielern zuzugreifen. Das Problem würde laut PivX bereits seit fünf Jahren bestehen, bisher hätte es aber keine Anstrengungen seitens Epic Games gegeben, dies zu beheben. Betroffen sind praktisch alle Spiele, die die Unreal-Engine nutzen, neben Unreal und Unreal Tournament (2003) also etwa auch Americas Army und Deus Ex.

Eine detaillierte Beschreibung der Probleme, die sich im Netz unter www.pivx.com/luigi/adv/ueng-adv.txt befindet, wurde von PivX am 5. Februar 2003 veröffentlicht, da Epic laut PivX auch auf mehrmalige Anfragen nicht antwortete und auch nach einer Wartezeit von 90 Tagen zu keiner Zusammenarbeit bereit war. Diverse Quellen, unter anderem TechTV.com, zitierten daraufhin Mark Rein, Epic Games Vice President, mit den Worten: "Das ist Verleumdung, wir werden jetzt unsere Anwälte einschalten."

In einem Interview gegenüber CNET äußerte sich Rein nun allerdings mit deutlich anderen Worten. Man werde PivX nicht verklagen, da es nicht im Sinne von Epic sei, gegen Unternehmen vorzugehen, die Fehler in Epic-Produkten finden. Stattdessen wolle man schnellstmöglich eine Lösung finden, um das Problem zu beheben und sei PivX sehr dankbar für Informationen über vorhandene Sicherheitsprobleme.

Derzeit arbeitet Epic an einem Patch, der die Probleme demnächst beheben soll. PivX war erst kürzlich in die Schlagzeilen geraten, nachdem das Unternehmen vor möglichen Denial-of-Service-Attacken gegen Games-Server gewarnt hatte.

Mittlerweile hat sich Mark Rein in einem offiziellen Statement für die vorschnelle und barsche Reaktion entschuldigt. Der Text findet sich unter: http://online.securityfocus.com/archive/1/311443/2003-02-09/2003-02-15/0