zurück zum Artikel

Statt des althergebrachten Ansatzes "Full Disclosure" zur Weitergabe von Informationen über Lücken scheint sich nach und nach "Money for Disclosure" zu etablieren

Statt des althergebrachten Ansatzes "Full Disclosure" zur Weitergabe von Informationen über Lücken scheint sich nach und nach "Money for Disclosure" zu etablieren. So wurden in den letzten Tagen vage Informationen etwa über kritische Lücken im Virenscanner F-Prot 3.16f [1], dem Media-Server Helix DNA [2], OpenLDAP [3] und anderer Software gestreut. Weitere Details erhält man allerdings nur als Kunde der Anbieter Immunity [4] und GLEG Ltd [5], die die Abonnenten ihrer Dienste obendrein auch noch mit Exploits versorgen.

Immunity betreibt das Geschäftsmodell "Infos gegen Bares" schon seit längerem und ist dafür auch bereits in der Vergangenheit kritisiert worden: Die Firma hatte etwa mehrere in Mac OS X entdeckte [6] Fehler nur an Abonnenten ihrer eigenen, geschlossenen Sicherheits-Mailing-Liste weitergegeben und Apple nicht darüber informiert. Für zwei am vergangenen Patchday [7] bekannt gewordene Lücken in Windows hat Immunity ebenfalls schon Exploits parat. Eine davon nutzt eine Schwachstelle in den Client Services for Netware und soll sogar in der Lage sein, Microsofts Schutz vor den Folgen von Buffer Overflows (Datenausführungsverhinderung, Data Execution Prevention - DEP) auszuhebeln. Die andere betrifft [8] den Arbeitsstationsdienst unter Windows 2000 und XP, der Immunity-Exploit soll aber nur für Windows 2000 funktionieren. Auf Milw0rm ist sogar ein öffentlicher Exploit verfügbar. Windows-Anwender sollten die verfügbaren Updates also baldigst installieren. Anwender von F-Prot und Helix müssen wohl oder übel auf Updates warten oder auf weitere Informationen hoffen. (dab [9])

URL dieses Artikels:
https://www.heise.de/-118954

Links in diesem Artikel:
[1] http://secunia.com/advisories/22879/
[2] http://secunia.com/advisories/22944/
[3] https://www.heise.de/news/Luecke-in-OpenLDAP-115872.html
[4] http://www.immunitysec.com/products-canvas.shtml
[5] http://gleg.net/products.shtml
[6] https://www.heise.de/news/Sicherheitsdienstleister-korrigiert-Sicherheits-Bulletin-von-Microsoft-145236.html
[7] https://www.heise.de/news/Microsoft-Patchday-Windows-und-IE-sicherer-117930.html
[8] http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms06-070.mspx
[9] mailto:dab@ct.de

Copyright © 2006 Heise Medien