• IT-Karriere:
  • Services:

Einstweilige Verfügung: Fireeye geht juristisch gegen Sicherheitsforscher vor

Ein Team von Sicherheitsforschern wollte auf einer Konferenz über Sicherheitslücken in Fireeye-Produkten berichten. Fireeye sah durch die Präsentation Geschäftsgeheimnisse bedroht und hat eine einstweilige Verfügung erwirkt.

Artikel von Hanno Böck veröffentlicht am
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken.
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken. (Bild: ERNW)

Verschiedene Sicherheitsforscher haben in den vergangenen Tagen kritische Sicherheitslücken in Fireeye-Produkten aufgedeckt, die teilweise dazu geeignet sind, Root-Rechte auf den Geräten der Firma zu erlangen. Um zu verhindern, dass Details über die Arbeitsweise von Fireeye-Geräten öffentlich werden, hat der Konzern eine einstweilige Verfügung vor dem Landgericht Hamburg erwirkt. Die Forscher der Firma ERNW konnten bei einer Präsentation auf der Konferenz 44CON nur eine stark eingeschränkte Fassung ihres geplanten Vortrages halten, wofür der Konzern viel Kritik einstecken muss. Der Sicherheitsforscher Kristian Erik Hermansen fordert außerdem von Fireeye ein Bug-Bounty-Programm, das die Entdecker von Sicherheitslücken finanziell entlohnt. Fireeye verkauft Security-Appliances, die vor allem in großen Firmennetzen zum Einsatz kommen und Malware im Netzwerkverkehr analysieren sowie blockieren sollen.

Directory Traversal mit Root-Zugriff

Inhalt:
  1. Einstweilige Verfügung: Fireeye geht juristisch gegen Sicherheitsforscher vor
  2. Buffer Overflows und Symlink-Angriffe ermöglichen Root-Zugriff
  3. Heftige Kritik an Fireeye

Hermansen veröffentlichte in einer sehr kurzen Mitteilung Informationen über eine Lücke, die offenbar ein PHP-Skript betrifft, das auf Fireeye-Geräten läuft. Durch einen entsprechenden Parameter ermöglicht das Skript das Auslesen von Dateien, die Beispiel-URL zeigt den Zugriff auf die Passwd-Datei des Systems - eine typische Directory-Traversal-Lücke. "Oh cool, die Webserver laufen als Root. Das ist exzellente Sicherheit für einen Sicherheitshersteller", schreibt Hermansen sarkastisch.

Hermansen hat nach eigenen Angaben Fireeye bereits vor 18 Monaten wegen dieser und anderer Sicherheitslücken kontaktiert und offenbar gefordert, ein Bug-Bounty-Programm einzurichten und ihn für das Aufdecken von Sicherheitslücken zu bezahlen. Für jede kritische Lücke wollte er 10.000 Dollar haben.

Derartige Bug-Bounty-Programme sind inzwischen sehr verbreitet. Bei den IT-Größen wie Google, Facebook oder Twitter ist es üblich, dass Sicherheitsforscher eine entsprechende Bezahlung erhalten, wenn sie Sicherheitslücken melden. Allerdings: 10.000 Dollar sind ungewöhnlich viel, von den IT-Größen werden derartige Beträge nur für extrem kritische Lücken bezahlt.

Stellenmarkt
  1. über duerenhoff GmbH, Frankfurt am Main
  2. Deutsche Rentenversicherung Bund, Berlin

Die Lücke, die Hermansen veröffentlicht hat, betraf laut Fireeye nur alte Modelle aus der HX-Produktserie und ist inzwischen durch ein Update gefixt. Hermansen weiß jedoch nach eigener Aussage von zahlreichen weiteren Sicherheitslücken. Die will er aber nur gegen Bezahlung preisgeben.

Weit freundlicher als Hermansen ging ein anderer Sicherheitsforscher vor. Felix Wilhelm von der Heidelberger Firma ERNW hat nach eigenen Angaben Anfang April zum ersten Mal Kontakt mit Fireeye via E-Mail aufgenommen. Nachdem circa drei Wochen keine Antwort kam, versuchte er es via Twitter - daraufhin reagierte Fireeye.

Funktionsweise von Fireeye-Geräten soll geheim bleiben

Wilhelm hatte mehrere Sicherheitslücken in Fireeyes WebMPS-System gefunden und eine Präsentation für die Konferenz 44CON in London und einen Bericht zur Veröffentlichung vorbereitet. Fireeye hatte offenbar schwere Vorbehalte gegen die Veröffentlichung. Dabei war laut Fireeye nicht das Bekanntwerden der Sicherheitslücken selbst das Problem, sondern einige Erklärungen über die Funktionsweise der Fireeye-Geräte in Wilhelms Präsentation. Laut Fireeye enthielt diese Details über geistiges Eigentum und Geschäftsgeheimnisse der Firma.

In mehreren Telefonkonferenzen versuchten Fireeye und ERNW zu einer Einigung zu kommen. Am 5. August trafen sich beide Seiten persönlich in Las Vegas. Laut den Vertretern von ERNW einigte man sich dort im Detail darauf, wie die Veröffentlichung aussehen sollte. Doch nur wenige Stunden später habe ERNW - in Deutschland - eine Unterlassungsaufforderung erhalten, die innerhalb von wenigen Tagen unterschrieben werden sollte. Einige Tage später folgte eine einstweilige Verfügung, die Fireeye vor dem Landgericht Hamburg erwirkt hatte.

Es bleibt unklar, aus welchem Grund Fireeye die Veröffentlichungen derart vehement verhindern will. Aus dem Kontext der geschwärzten Stellen in der Präsentation lässt sich vermuten, dass es sich bei den gestrichenen Passagen teilweise um außerordentlich triviale Informationen handelt, beispielsweise Verzeichnisnamen, ein Screenshot der Weboberfläche oder eine Liste der unterstützen Dateitypen.

Die Details der Sicherheitslücken selbst zeigen, dass Fireeye offenbar an einigen Stellen nachlässig bei der Sicherheit war.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Buffer Overflows und Symlink-Angriffe ermöglichen Root-Zugriff 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Spiele-Angebote
  1. (-40%) 35,99€
  2. 15,00€
  3. 39,99€

irata 17. Sep 2015

Security through obscurity? So wie das Voynich-Manuskript? Hat man in 100 Jahren, oder...

M.P. 17. Sep 2015

Also darf auch der ADAC nicht bei Crash-Tests gefundene Schwächen eines Fahrzeuges...

M.P. 17. Sep 2015

Die Einstweilige Verfügung ist aber nicht gegen das "Geld kassieren" erfolgt, sondern...

Anonymer Nutzer 17. Sep 2015

Nach diesem absolut kopfkranken Urteil mal wieder vom LG Hamburg, dürften ja wohl alle...

Anonymer Nutzer 17. Sep 2015

Zitat: "Ein Team von Sicherheitsforschern wollte auf einer Konferenz über...


Folgen Sie uns
       


Razer Eracing Simulator ausprobiert (CES 2020)

Der Eracing Simulator von Razer versucht, das Fahrgefühl in einem Rennwagen wiederzugeben. Dank Motoren und einer großen Leinwand ist die Immersion sehr gut, wie Golem.de im Hands on feststellen konnte.

Razer Eracing Simulator ausprobiert (CES 2020) Video aufrufen
Radeon RX 5600 XT im Test: AMDs Schneller als erwartet-Grafikkarte
Radeon RX 5600 XT im Test
AMDs "Schneller als erwartet"-Grafikkarte

Für 300 Euro ist die Radeon RX 5600 XT interessant - trotz Konkurrenz durch Nvidia und AMD selbst. Wie sehr die Navi-Grafikkarte empfehlenswert ist, hängt davon ab, ob Nutzer sich einen Flash-Vorgang zutrauen.
Ein Test von Marc Sauter

  1. Grafikkarte AMD bringt RX 5600 XT im Januar
  2. Grafikkarte Radeon RX 5600 XT hat 2.304 Shader und 6 GByte Speicher
  3. Radeon RX 5500 XT (8GB) im Test Selbst mehr Speicher hilft AMD nicht

Shitrix: Das Citrix-Desaster
Shitrix
Das Citrix-Desaster

Eine Sicherheitslücke in Geräten der Firma Citrix zeigt in erschreckender Weise, wie schlecht es um die IT-Sicherheit in Behörden steht. Es fehlt an den absoluten Grundlagen.
Ein IMHO von Hanno Böck

  1. Perl-Injection Citrix-Geräte mit schwerer Sicherheitslücke und ohne Update

Europäische Netzpolitik: Die Rückkehr des Axel Voss
Europäische Netzpolitik
Die Rückkehr des Axel Voss

Elektronische Beweismittel, Nutzertracking, Terrorinhalte: In der EU stehen in diesem Jahr wichtige netzpolitische Entscheidungen an. Auch Axel Voss will wieder mitmischen. Und wird Ursula von der Leyen mit dem "Digitale-Dienste-Gesetz" wieder zu "Zensursula"?
Eine Analyse von Friedhelm Greis

  1. Mitgliederentscheid Netzpolitikerin Esken wird SPD-Chefin
  2. Nach schwerer Krankheit FDP-Netzpolitiker Jimmy Schulz gestorben

    •  /