Abo
  • Services:
Anzeige
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken.
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken. (Bild: ERNW)

Einstweilige Verfügung: Fireeye geht juristisch gegen Sicherheitsforscher vor

"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken.
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken. (Bild: ERNW)

Ein Team von Sicherheitsforschern wollte auf einer Konferenz über Sicherheitslücken in Fireeye-Produkten berichten. Fireeye sah durch die Präsentation Geschäftsgeheimnisse bedroht und hat eine einstweilige Verfügung erwirkt.
Von Hanno Böck

Verschiedene Sicherheitsforscher haben in den vergangenen Tagen kritische Sicherheitslücken in Fireeye-Produkten aufgedeckt, die teilweise dazu geeignet sind, Root-Rechte auf den Geräten der Firma zu erlangen. Um zu verhindern, dass Details über die Arbeitsweise von Fireeye-Geräten öffentlich werden, hat der Konzern eine einstweilige Verfügung vor dem Landgericht Hamburg erwirkt. Die Forscher der Firma ERNW konnten bei einer Präsentation auf der Konferenz 44CON nur eine stark eingeschränkte Fassung ihres geplanten Vortrages halten, wofür der Konzern viel Kritik einstecken muss. Der Sicherheitsforscher Kristian Erik Hermansen fordert außerdem von Fireeye ein Bug-Bounty-Programm, das die Entdecker von Sicherheitslücken finanziell entlohnt. Fireeye verkauft Security-Appliances, die vor allem in großen Firmennetzen zum Einsatz kommen und Malware im Netzwerkverkehr analysieren sowie blockieren sollen.

Anzeige

Directory Traversal mit Root-Zugriff

Hermansen veröffentlichte in einer sehr kurzen Mitteilung Informationen über eine Lücke, die offenbar ein PHP-Skript betrifft, das auf Fireeye-Geräten läuft. Durch einen entsprechenden Parameter ermöglicht das Skript das Auslesen von Dateien, die Beispiel-URL zeigt den Zugriff auf die Passwd-Datei des Systems - eine typische Directory-Traversal-Lücke. "Oh cool, die Webserver laufen als Root. Das ist exzellente Sicherheit für einen Sicherheitshersteller", schreibt Hermansen sarkastisch.

Hermansen hat nach eigenen Angaben Fireeye bereits vor 18 Monaten wegen dieser und anderer Sicherheitslücken kontaktiert und offenbar gefordert, ein Bug-Bounty-Programm einzurichten und ihn für das Aufdecken von Sicherheitslücken zu bezahlen. Für jede kritische Lücke wollte er 10.000 Dollar haben.

Derartige Bug-Bounty-Programme sind inzwischen sehr verbreitet. Bei den IT-Größen wie Google, Facebook oder Twitter ist es üblich, dass Sicherheitsforscher eine entsprechende Bezahlung erhalten, wenn sie Sicherheitslücken melden. Allerdings: 10.000 Dollar sind ungewöhnlich viel, von den IT-Größen werden derartige Beträge nur für extrem kritische Lücken bezahlt.

Die Lücke, die Hermansen veröffentlicht hat, betraf laut Fireeye nur alte Modelle aus der HX-Produktserie und ist inzwischen durch ein Update gefixt. Hermansen weiß jedoch nach eigener Aussage von zahlreichen weiteren Sicherheitslücken. Die will er aber nur gegen Bezahlung preisgeben.

Weit freundlicher als Hermansen ging ein anderer Sicherheitsforscher vor. Felix Wilhelm von der Heidelberger Firma ERNW hat nach eigenen Angaben Anfang April zum ersten Mal Kontakt mit Fireeye via E-Mail aufgenommen. Nachdem circa drei Wochen keine Antwort kam, versuchte er es via Twitter - daraufhin reagierte Fireeye.

Funktionsweise von Fireeye-Geräten soll geheim bleiben

Wilhelm hatte mehrere Sicherheitslücken in Fireeyes WebMPS-System gefunden und eine Präsentation für die Konferenz 44CON in London und einen Bericht zur Veröffentlichung vorbereitet. Fireeye hatte offenbar schwere Vorbehalte gegen die Veröffentlichung. Dabei war laut Fireeye nicht das Bekanntwerden der Sicherheitslücken selbst das Problem, sondern einige Erklärungen über die Funktionsweise der Fireeye-Geräte in Wilhelms Präsentation. Laut Fireeye enthielt diese Details über geistiges Eigentum und Geschäftsgeheimnisse der Firma.

In mehreren Telefonkonferenzen versuchten Fireeye und ERNW zu einer Einigung zu kommen. Am 5. August trafen sich beide Seiten persönlich in Las Vegas. Laut den Vertretern von ERNW einigte man sich dort im Detail darauf, wie die Veröffentlichung aussehen sollte. Doch nur wenige Stunden später habe ERNW - in Deutschland - eine Unterlassungsaufforderung erhalten, die innerhalb von wenigen Tagen unterschrieben werden sollte. Einige Tage später folgte eine einstweilige Verfügung, die Fireeye vor dem Landgericht Hamburg erwirkt hatte.

Es bleibt unklar, aus welchem Grund Fireeye die Veröffentlichungen derart vehement verhindern will. Aus dem Kontext der geschwärzten Stellen in der Präsentation lässt sich vermuten, dass es sich bei den gestrichenen Passagen teilweise um außerordentlich triviale Informationen handelt, beispielsweise Verzeichnisnamen, ein Screenshot der Weboberfläche oder eine Liste der unterstützen Dateitypen.

Die Details der Sicherheitslücken selbst zeigen, dass Fireeye offenbar an einigen Stellen nachlässig bei der Sicherheit war.

Buffer Overflows und Symlink-Angriffe ermöglichen Root-Zugriff 

eye home zur Startseite
irata 17. Sep 2015

Security through obscurity? So wie das Voynich-Manuskript? Hat man in 100 Jahren, oder...

M.P. 17. Sep 2015

Also darf auch der ADAC nicht bei Crash-Tests gefundene Schwächen eines Fahrzeuges...

M.P. 17. Sep 2015

Die Einstweilige Verfügung ist aber nicht gegen das "Geld kassieren" erfolgt, sondern...

Anonymer Nutzer 17. Sep 2015

Nach diesem absolut kopfkranken Urteil mal wieder vom LG Hamburg, dürften ja wohl alle...

Anonymer Nutzer 17. Sep 2015

Zitat: "Ein Team von Sicherheitsforschern wollte auf einer Konferenz über...



Anzeige

Stellenmarkt
  1. Schmitz-Stelzer Datentechnik GmbH, Geilenkirchen
  2. Bundeskriminalamt, Meckenheim bei Bonn
  3. Blickle Räder+Rollen GmbH u. Co. KG, Rosenfeld
  4. Deutsche Hypothekenbank (Actien-Gesellschaft), Hannover


Anzeige
Hardware-Angebote
  1. (u. a. Echo Dot für 34,99€ statt 59,99€)
  2. bis zu 25% sparen

Folgen Sie uns
       


  1. Bayern

    Eltern wollen Lockerungen beim Handyverbot an Schulen

  2. Baden Württemberg

    Streit über "Cyberwehr" im Landtag

  3. Die Woche im Video

    Zweiräder heben ab und ein Luftschiff kommt runter

  4. Autonomes Fahren

    Singapur kündigt fahrerlose Busse an

  5. Coinhive

    Kryptominingskript in Chat-Widget entdeckt

  6. Monster Hunter World angespielt

    Die Nahrungskettensimulation

  7. Rechtsunsicherheit bei Cookies

    EU warnt vor Verzögerung von ePrivacy-Verordnung

  8. Schleswig-Holstein

    Bundesland hat bereits 32 Prozent echte Glasfaserabdeckung

  9. Tesla Semi

    Teslas Truck gibt es ab 150.000 US-Dollar

  10. Mobilfunk

    Netzqualität in der Bahn weiter nicht ausreichend



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Erneuerbare Energien: Siemens leitet die neue Steinzeit ein
Erneuerbare Energien
Siemens leitet die neue Steinzeit ein
  1. Siemens und Schunk Akkufahrzeuge werden mit 600 bis 1.000 Kilowatt aufgeladen
  2. Parkplatz-Erkennung Bosch und Siemens scheitern mit Pilotprojekten

Orbital Sciences: Vom Aufstieg und Niedergang eines Raketenbauers
Orbital Sciences
Vom Aufstieg und Niedergang eines Raketenbauers
  1. DFKI Forscher proben robotische Planetenerkundung auf der Erde
  2. Arkyd-6 Planetary Resources startet bald ein neues Weltraumteleskop
  3. Nasa und Roskosmos Gemeinsam stolpern sie zum Mond

Indiegames-Rundschau: Von Weltraumpiraten und dem Wunderdoktor
Indiegames-Rundschau
Von Weltraumpiraten und dem Wunderdoktor
  1. Verlag IGN übernimmt Indiegames-Anbieter Humble Bundle
  2. Indiegames-Rundschau Fantastische Fantasy und das Echo der Doppelgänger
  3. Indiegames-Rundschau Cyberpunk, Knetmännchen und Kampfsportkünstler

  1. Re: Sie hat völlig recht!

    snboris | 12:31

  2. Re: Typisch Deutschland mal wieder..

    KnutRider | 12:28

  3. Re: Damit die Helikoptereltern

    KnutRider | 12:19

  4. Re: Erfahrungsbericht Freiwilliges Anbieten

    unbuntu | 12:15

  5. Re: Sabotage?

    newyear | 12:14


  1. 11:49

  2. 11:04

  3. 09:00

  4. 17:56

  5. 15:50

  6. 15:32

  7. 14:52

  8. 14:43


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel