Abo
  • Services:

Einstweilige Verfügung: Fireeye geht juristisch gegen Sicherheitsforscher vor

Ein Team von Sicherheitsforschern wollte auf einer Konferenz über Sicherheitslücken in Fireeye-Produkten berichten. Fireeye sah durch die Präsentation Geschäftsgeheimnisse bedroht und hat eine einstweilige Verfügung erwirkt.

Artikel von Hanno Böck veröffentlicht am
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken.
"Zensiert" hieß es auf einigen der Folien in einer Präsentation über Fireeye-Sicherheitslücken. (Bild: ERNW)

Verschiedene Sicherheitsforscher haben in den vergangenen Tagen kritische Sicherheitslücken in Fireeye-Produkten aufgedeckt, die teilweise dazu geeignet sind, Root-Rechte auf den Geräten der Firma zu erlangen. Um zu verhindern, dass Details über die Arbeitsweise von Fireeye-Geräten öffentlich werden, hat der Konzern eine einstweilige Verfügung vor dem Landgericht Hamburg erwirkt. Die Forscher der Firma ERNW konnten bei einer Präsentation auf der Konferenz 44CON nur eine stark eingeschränkte Fassung ihres geplanten Vortrages halten, wofür der Konzern viel Kritik einstecken muss. Der Sicherheitsforscher Kristian Erik Hermansen fordert außerdem von Fireeye ein Bug-Bounty-Programm, das die Entdecker von Sicherheitslücken finanziell entlohnt. Fireeye verkauft Security-Appliances, die vor allem in großen Firmennetzen zum Einsatz kommen und Malware im Netzwerkverkehr analysieren sowie blockieren sollen.

Directory Traversal mit Root-Zugriff

Inhalt:
  1. Einstweilige Verfügung: Fireeye geht juristisch gegen Sicherheitsforscher vor
  2. Buffer Overflows und Symlink-Angriffe ermöglichen Root-Zugriff
  3. Heftige Kritik an Fireeye

Hermansen veröffentlichte in einer sehr kurzen Mitteilung Informationen über eine Lücke, die offenbar ein PHP-Skript betrifft, das auf Fireeye-Geräten läuft. Durch einen entsprechenden Parameter ermöglicht das Skript das Auslesen von Dateien, die Beispiel-URL zeigt den Zugriff auf die Passwd-Datei des Systems - eine typische Directory-Traversal-Lücke. "Oh cool, die Webserver laufen als Root. Das ist exzellente Sicherheit für einen Sicherheitshersteller", schreibt Hermansen sarkastisch.

Hermansen hat nach eigenen Angaben Fireeye bereits vor 18 Monaten wegen dieser und anderer Sicherheitslücken kontaktiert und offenbar gefordert, ein Bug-Bounty-Programm einzurichten und ihn für das Aufdecken von Sicherheitslücken zu bezahlen. Für jede kritische Lücke wollte er 10.000 Dollar haben.

Derartige Bug-Bounty-Programme sind inzwischen sehr verbreitet. Bei den IT-Größen wie Google, Facebook oder Twitter ist es üblich, dass Sicherheitsforscher eine entsprechende Bezahlung erhalten, wenn sie Sicherheitslücken melden. Allerdings: 10.000 Dollar sind ungewöhnlich viel, von den IT-Größen werden derartige Beträge nur für extrem kritische Lücken bezahlt.

Stellenmarkt
  1. CSL Behring GmbH, Marburg, Hattersheim am Main
  2. Robert Bosch GmbH, Stuttgart

Die Lücke, die Hermansen veröffentlicht hat, betraf laut Fireeye nur alte Modelle aus der HX-Produktserie und ist inzwischen durch ein Update gefixt. Hermansen weiß jedoch nach eigener Aussage von zahlreichen weiteren Sicherheitslücken. Die will er aber nur gegen Bezahlung preisgeben.

Weit freundlicher als Hermansen ging ein anderer Sicherheitsforscher vor. Felix Wilhelm von der Heidelberger Firma ERNW hat nach eigenen Angaben Anfang April zum ersten Mal Kontakt mit Fireeye via E-Mail aufgenommen. Nachdem circa drei Wochen keine Antwort kam, versuchte er es via Twitter - daraufhin reagierte Fireeye.

Funktionsweise von Fireeye-Geräten soll geheim bleiben

Wilhelm hatte mehrere Sicherheitslücken in Fireeyes WebMPS-System gefunden und eine Präsentation für die Konferenz 44CON in London und einen Bericht zur Veröffentlichung vorbereitet. Fireeye hatte offenbar schwere Vorbehalte gegen die Veröffentlichung. Dabei war laut Fireeye nicht das Bekanntwerden der Sicherheitslücken selbst das Problem, sondern einige Erklärungen über die Funktionsweise der Fireeye-Geräte in Wilhelms Präsentation. Laut Fireeye enthielt diese Details über geistiges Eigentum und Geschäftsgeheimnisse der Firma.

In mehreren Telefonkonferenzen versuchten Fireeye und ERNW zu einer Einigung zu kommen. Am 5. August trafen sich beide Seiten persönlich in Las Vegas. Laut den Vertretern von ERNW einigte man sich dort im Detail darauf, wie die Veröffentlichung aussehen sollte. Doch nur wenige Stunden später habe ERNW - in Deutschland - eine Unterlassungsaufforderung erhalten, die innerhalb von wenigen Tagen unterschrieben werden sollte. Einige Tage später folgte eine einstweilige Verfügung, die Fireeye vor dem Landgericht Hamburg erwirkt hatte.

Es bleibt unklar, aus welchem Grund Fireeye die Veröffentlichungen derart vehement verhindern will. Aus dem Kontext der geschwärzten Stellen in der Präsentation lässt sich vermuten, dass es sich bei den gestrichenen Passagen teilweise um außerordentlich triviale Informationen handelt, beispielsweise Verzeichnisnamen, ein Screenshot der Weboberfläche oder eine Liste der unterstützen Dateitypen.

Die Details der Sicherheitslücken selbst zeigen, dass Fireeye offenbar an einigen Stellen nachlässig bei der Sicherheit war.

Buffer Overflows und Symlink-Angriffe ermöglichen Root-Zugriff 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Spiele-Angebote
  1. 4,95€
  2. 36,99€
  3. 4,99€
  4. 59,99€ mit Vorbesteller-Preisgarantie (Release 26.02.)

irata 17. Sep 2015

Security through obscurity? So wie das Voynich-Manuskript? Hat man in 100 Jahren, oder...

M.P. 17. Sep 2015

Also darf auch der ADAC nicht bei Crash-Tests gefundene Schwächen eines Fahrzeuges...

M.P. 17. Sep 2015

Die Einstweilige Verfügung ist aber nicht gegen das "Geld kassieren" erfolgt, sondern...

Anonymer Nutzer 17. Sep 2015

Nach diesem absolut kopfkranken Urteil mal wieder vom LG Hamburg, dürften ja wohl alle...

Anonymer Nutzer 17. Sep 2015

Zitat: "Ein Team von Sicherheitsforschern wollte auf einer Konferenz über...


Folgen Sie uns
       


Azio Retro Classic Tastatur - Test

Die Azio Retro Classic sieht mehr nach Schreibmaschine als nach moderner Tastatur aus. Die von Azio mit Kaihua entwickelten Switches bieten eine angenehme Taktilität, für Vieltipper ist die Tastatur sehr gut geeignet.

Azio Retro Classic Tastatur - Test Video aufrufen
Urheberrecht: Warum die Kreativwirtschaft plötzlich Uploadfilter ablehnt
Urheberrecht
Warum die Kreativwirtschaft plötzlich Uploadfilter ablehnt

Eigentlich sollte der umstrittene Artikel 13 der EU-Urheberrechtsreform die Rechteinhaber gegenüber Plattformen wie Youtube stärken. Doch nun warnen TV-Sender und Medien vor Nachteilen durch das Gesetz. Software-Entwickler sollen keine zusätzlichen Rechte bekommen.
Von Friedhelm Greis

  1. Leistungsschutzrecht und Uploadfilter EU-Länder bremsen Urheberrechtsreform aus
  2. EuGH-Gutachten Deutsches Leistungsschutzrecht soll unzulässig sein
  3. Leistungsschutzrecht So oft könnten Verlage künftig an Bezahlartikeln verdienen

Bright Memory angespielt: Brachialer PC-Shooter aus China
Bright Memory angespielt
Brachialer PC-Shooter aus China

Nur ein Entwickler und lediglich eine Stunde Spielzeit - trotzdem wischt das nur rund 6 Euro teure und ausschließlich für Windows-PC erhältliche Bright Memory mit vielen Vollpreisspielen den Boden. Selbst die vollständig chinesische Sprachausgabe stört fast nicht.

  1. Strange Brigade angespielt Feuergefechte mit Mumien und Monstern

Padrone angesehen: Eine Mausalternative, die funktioniert
Padrone angesehen
Eine Mausalternative, die funktioniert

CES 2019 Ein Ring soll die Computermaus ersetzen: Am Zeigefinger getragen macht Padrone jede Oberfläche zum Touchpad. Der Prototyp fühlt sich bei der Bedienung überraschend gut an.
Von Tobias Költzsch

  1. Videostreaming Plex will Filme und Serien kostenlos und im Abo anbieten
  2. People Mover Rollende Kisten ohne Fahrer
  3. Nubia X im Hands on Lieber zwei Bildschirme als eine Notch

    •  /