FireEye untersucht Root-Lücken in Sicherheits-Appliances
Sicherheitsforscher hatten schwerwiegende Lücken in den Appliances der Firma entdeckt. Ihre Hinweise blieben nach eigenen Angaben 18 Monate lang unbeantwortet. FireEye sagt, man wisse erst seit Montag von den Lücken.
(Bild: cplbasilisk, CC-BY 2.0)
- Fabian A. Scherschel
Nachdem ein Sicherheitsforscher eine schwerwiegende Lücke in Hardware der Sicherheitsfirma FireEye öffentlich gemacht hatte, untersucht die Firma nun den Vorfall. Der Forscher hatte zu Protokoll gegeben, FireEye vor über 18 Monaten über mehrere Lücken in ihren Geräten informiert zu haben. FireEye zufolge wisse man seit Montag morgen von vier Lücken, welche durch die beiden Forscher Kristian Hermansen und Ron Perris entdeckt worden seien. Man habe beide kontaktiert und arbeite daran, die Lücken einzuschätzen.
Hermansen hatte behauptet, es gäbe keine einfache Möglichkeit, Lücken an FireEye zu melden. Das trifft allerdings nicht zu: Die entsprechenden Kontaktinformationen sind über einschlägige Suchbegriffe schnell zu finden. Inzwischen regen sich Zweifel an den von ihm veröffentlichten Details zu der Sicherheitslücke, auch bei Lesern von heise Security. Es sei nicht sicher, dass der Webserver der FireEye-Hardware wirklich mit Root-Rechten laufe, oder in wie fern dies wirklich ein Problem darstellt. Ziemlich unstrittig scheint zu sein, dass die FireEye-Software den Zugriff auf Verzeichnisse erlaubt, die eigentlich nicht aus dem öffentlichen Netz erreichbar sein sollten.
FireEye nimmt die Berichte nach eigener Aussage sehr ernst. Etwaige Lücken wolle man so schnell wie möglich schließen, teilte die Firma gegenüber heise Security mit. Außerdem werde man die eigenen Kunden informieren, wenn sich die Hinweise erhärten. Dass man seine Kunden nur informiere, wenn Lücken in freier Wildbahn ausgenutzt werden, sei ein Missverständnis, teilte FireEye mit. (fab)
