• IT-Karriere:
  • Services:

Einstweilige Verfügung: Fireeye geht juristisch gegen Sicherheitsforscher vor

Ein Team von Sicherheitsforschern wollte auf einer Konferenz über Sicherheitslücken in Fireeye-Produkten berichten. Fireeye sah durch die Präsentation Geschäftsgeheimnisse bedroht und hat eine einstweilige Verfügung erwirkt.

Artikel von Hanno Böck veröffentlicht am
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken.
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken. (Bild: ERNW)

Verschiedene Sicherheitsforscher haben in den vergangenen Tagen kritische Sicherheitslücken in Fireeye-Produkten aufgedeckt, die teilweise dazu geeignet sind, Root-Rechte auf den Geräten der Firma zu erlangen. Um zu verhindern, dass Details über die Arbeitsweise von Fireeye-Geräten öffentlich werden, hat der Konzern eine einstweilige Verfügung vor dem Landgericht Hamburg erwirkt. Die Forscher der Firma ERNW konnten bei einer Präsentation auf der Konferenz 44CON nur eine stark eingeschränkte Fassung ihres geplanten Vortrages halten, wofür der Konzern viel Kritik einstecken muss. Der Sicherheitsforscher Kristian Erik Hermansen fordert außerdem von Fireeye ein Bug-Bounty-Programm, das die Entdecker von Sicherheitslücken finanziell entlohnt. Fireeye verkauft Security-Appliances, die vor allem in großen Firmennetzen zum Einsatz kommen und Malware im Netzwerkverkehr analysieren sowie blockieren sollen.

Directory Traversal mit Root-Zugriff

Inhalt:
  1. Einstweilige Verfügung: Fireeye geht juristisch gegen Sicherheitsforscher vor
  2. Buffer Overflows und Symlink-Angriffe ermöglichen Root-Zugriff
  3. Heftige Kritik an Fireeye

Hermansen veröffentlichte in einer sehr kurzen Mitteilung Informationen über eine Lücke, die offenbar ein PHP-Skript betrifft, das auf Fireeye-Geräten läuft. Durch einen entsprechenden Parameter ermöglicht das Skript das Auslesen von Dateien, die Beispiel-URL zeigt den Zugriff auf die Passwd-Datei des Systems - eine typische Directory-Traversal-Lücke. "Oh cool, die Webserver laufen als Root. Das ist exzellente Sicherheit für einen Sicherheitshersteller", schreibt Hermansen sarkastisch.

Hermansen hat nach eigenen Angaben Fireeye bereits vor 18 Monaten wegen dieser und anderer Sicherheitslücken kontaktiert und offenbar gefordert, ein Bug-Bounty-Programm einzurichten und ihn für das Aufdecken von Sicherheitslücken zu bezahlen. Für jede kritische Lücke wollte er 10.000 Dollar haben.

Derartige Bug-Bounty-Programme sind inzwischen sehr verbreitet. Bei den IT-Größen wie Google, Facebook oder Twitter ist es üblich, dass Sicherheitsforscher eine entsprechende Bezahlung erhalten, wenn sie Sicherheitslücken melden. Allerdings: 10.000 Dollar sind ungewöhnlich viel, von den IT-Größen werden derartige Beträge nur für extrem kritische Lücken bezahlt.

Stellenmarkt
  1. Techniker Krankenkasse, Hamburg
  2. Basler AG, Ahrensburg

Die Lücke, die Hermansen veröffentlicht hat, betraf laut Fireeye nur alte Modelle aus der HX-Produktserie und ist inzwischen durch ein Update gefixt. Hermansen weiß jedoch nach eigener Aussage von zahlreichen weiteren Sicherheitslücken. Die will er aber nur gegen Bezahlung preisgeben.

Weit freundlicher als Hermansen ging ein anderer Sicherheitsforscher vor. Felix Wilhelm von der Heidelberger Firma ERNW hat nach eigenen Angaben Anfang April zum ersten Mal Kontakt mit Fireeye via E-Mail aufgenommen. Nachdem circa drei Wochen keine Antwort kam, versuchte er es via Twitter - daraufhin reagierte Fireeye.

Funktionsweise von Fireeye-Geräten soll geheim bleiben

Wilhelm hatte mehrere Sicherheitslücken in Fireeyes WebMPS-System gefunden und eine Präsentation für die Konferenz 44CON in London und einen Bericht zur Veröffentlichung vorbereitet. Fireeye hatte offenbar schwere Vorbehalte gegen die Veröffentlichung. Dabei war laut Fireeye nicht das Bekanntwerden der Sicherheitslücken selbst das Problem, sondern einige Erklärungen über die Funktionsweise der Fireeye-Geräte in Wilhelms Präsentation. Laut Fireeye enthielt diese Details über geistiges Eigentum und Geschäftsgeheimnisse der Firma.

In mehreren Telefonkonferenzen versuchten Fireeye und ERNW zu einer Einigung zu kommen. Am 5. August trafen sich beide Seiten persönlich in Las Vegas. Laut den Vertretern von ERNW einigte man sich dort im Detail darauf, wie die Veröffentlichung aussehen sollte. Doch nur wenige Stunden später habe ERNW - in Deutschland - eine Unterlassungsaufforderung erhalten, die innerhalb von wenigen Tagen unterschrieben werden sollte. Einige Tage später folgte eine einstweilige Verfügung, die Fireeye vor dem Landgericht Hamburg erwirkt hatte.

Es bleibt unklar, aus welchem Grund Fireeye die Veröffentlichungen derart vehement verhindern will. Aus dem Kontext der geschwärzten Stellen in der Präsentation lässt sich vermuten, dass es sich bei den gestrichenen Passagen teilweise um außerordentlich triviale Informationen handelt, beispielsweise Verzeichnisnamen, ein Screenshot der Weboberfläche oder eine Liste der unterstützen Dateitypen.

Die Details der Sicherheitslücken selbst zeigen, dass Fireeye offenbar an einigen Stellen nachlässig bei der Sicherheit war.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Buffer Overflows und Symlink-Angriffe ermöglichen Root-Zugriff 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Top-Angebote
  1. (u. a. Medion Akyora Laptop 15,6 Zoll i5 16GB für 749,99€, Medion X17575 75-Zoll-TV für 899...
  2. (u. a. Philips Ultra Speed SATA-SSD 480GB für 44,92€, HP 25x 24,5 Zoll Full-HD 144 Hz für 168...
  3. (u. a. YI Überwachungskamera Dome 1080p Full-HD WLAN IP-Kamera Bewegungserkennung Nachtsicht für...
  4. (u. a. be quiet! Silent Base 801 Window Silver Tower-Gehäuse für 119,90€, Netgear XS505M...

irata 17. Sep 2015

Security through obscurity? So wie das Voynich-Manuskript? Hat man in 100 Jahren, oder...

M.P. 17. Sep 2015

Also darf auch der ADAC nicht bei Crash-Tests gefundene Schwächen eines Fahrzeuges...

M.P. 17. Sep 2015

Die Einstweilige Verfügung ist aber nicht gegen das "Geld kassieren" erfolgt, sondern...

Anonymer Nutzer 17. Sep 2015

Nach diesem absolut kopfkranken Urteil mal wieder vom LG Hamburg, dürften ja wohl alle...

Anonymer Nutzer 17. Sep 2015

Zitat: "Ein Team von Sicherheitsforschern wollte auf einer Konferenz über...


Folgen Sie uns
       


Linux unter Windows 10 installieren - Tutorial

Wir zeigen im Video, wie man in wenigen Minuten Linux unter Windows 10 zum Laufen bringt.

Linux unter Windows 10 installieren - Tutorial Video aufrufen
Cyberpunk 2077: So wunderbar kaputt!
Cyberpunk 2077
So wunderbar kaputt!

Auch nach einem Monat mit Cyberpunk 2077 sind uns schlechte Grafik auf der PS4 oder die zahlreichen Bugs egal. Die toll inszenierte Dystopie macht uns nachdenklich und wird über Jahre unerreicht bleiben. Achtung, Spoiler!
Ein IMHO von Tobias Költzsch und Sebastian Grüner

  1. CD Projekt Red Crunch trifft auf Cyberpunk 2077
  2. Open Source Niemand hat die Absicht, Sicherheitslücken zu schließen
  3. Disney+ Disney muss seinen Katalog aufstocken

Clubhouse: Plaudern in der Wohlfühl-Langeweile
Clubhouse
Plaudern in der Wohlfühl-Langeweile

Gute Inhalte muss man bei Clubhouse momentan noch suchen. Fraglich ist, ob das Konzept - sinnvoll angewendet - wirklich so neu ist und ob es dafür eine neue App braucht.
Ein IMHO von Tobias Költzsch

  1. CES 2021 So geht eine Messe in Pandemie-Zeiten
  2. USA Die falsche Toleranz im Silicon Valley muss endlich aufhören
  3. Handyortung Sinnloser Traum vom elektronischen Zaun gegen Corona

Star Trek: Lower Decks: Für Trekkies die beste aktuelle Star-Trek-Serie
Star Trek: Lower Decks
Für Trekkies die beste aktuelle Star-Trek-Serie

Über Discovery und Picard haben viele Fans geschimpft - bei Star Trek: Lower Decks kommen Trekkies hingegen voll auf ihre Kosten. Die Macher sind Star-Trek-Nerds, wie uns Hauptdarsteller Jack Quaid verrät. Achtung, Spoiler!
Eine Rezension von Tobias Költzsch

  1. Star Trek: Discovery 3. Staffel Zwischendurch schwer zu ertragen
  2. Amazon Star Trek: Lower Decks kommt im Januar nach Deutschland
  3. Star Trek Discovery Harte Landung im 32. Jahrhundert

    •  /