FireEye-Sicherheitslösung erneut mit Sicherheitsleck

Einen kritischen Fehler in verschiedenen Modellen einer Sicherheits-Appliance von FireEye wollen Forscher des Projektes Google Zero entdeckt haben. Der US-Branchendienst Computerworld berichtet, dass darüber ein Angreifer Zugang zu einem Unternehmensnetzwerk erlangen kann. FireEye hat zwischenzeitlich einen Patch für die Schwachstelle veröffentlicht.

Einer Stellungnahme des Unternehmens (PDF) zufolge sind die Appliances NX, EX, FX und AX betroffen. Über diese Komponenten können Unternehmen den Netzwerkverkehr überwachen und verdächtige Dateien herauszufiltern, um diese außerhalb des Netzwerks untersuchen zu können. Diese sensiblen Geräte bekommen für diese Aufgabe vollständigen Zugriff auf ein Netzwerk. Ein Hacker, der die Kontrolle über eines der Geräte erhalte, sei damit nicht nur in der Lage, den Datenverkehr zu überwachen sondern könne unter Umständen sogar eigenen Code einfügen.

Der Fehler selbst steckt in dem Modul, das Java-Archive (JAR) analysiert. Tavis Ormandy, der die Anfälligkeit zusammen mit Natalie Silvanovich entdeckt hat, beschreibt die Sicherheitslücke als “Alptraum-Szenario”. Ein Angreifer müsse einem Opfer lediglich eine E-Mail schicken oder es dazu bewegen, auf einen Link zu klicken, um die Schwachstelle auszunutzen. “Der Empfänger müsste die E-Mail nicht einmal öffnen, der Empfang wäre ausreichend”, schreibt Ormandy.

Sobald ein Hacker die Kontrolle über eine Appliance von FireEye erlangt habe, sei er auch in der Lage, ein Rootkit zu laden, andere Netzwerke zu infiltrieren oder einen sich selbst verbreitenden Wurm zu installieren, so Ormandy weiter. Der Schwachstelle gaben die Forscher dem Bericht zufolge den Spitznamen “666” – allerdings nicht aufgrund des Schweregrads, sondern weil sie das 666. Advisory von Googles Project Zero ist.

FireEye sei am vergangenen Freitag über das Sicherheitsleck informiert worden. Am Wochenende habe das Unternehmen bereits einen temporären Fix veröffentlicht. Der permanente Patch steht seit Montag zur Verfügung.

Schon im September hatte der Sicherheitsforscher Kristian Erik Hermansen eine Sicherheitslücke in einer FireEye-Appliance öffentlich gemacht. Sie erlaubte einen unautorisierten Fernzugriff auf das Dateisystem eines FireEye-Webservers. In dem Fall wusste das Unternehmen dem Forscher zufolge schon seit 18 Monaten von dem Bug – ohne zu reagieren. Zur Veröffentlichung der Lücke mit einem Proof-of-Concept-Code entschloss er sich, da dieser bereits Kriminellen zum Kauf angeboten wurde.

[mit Material von Stefan Beiersmann, ZDNet.de]