Google-Forscher entdecken erneut kritische Lücke in Sicherheitslösungen von FireEye

Forscher von Googles Project Zero haben einen kritischen Softwarefehler in verschiedenen Modellen einer Sicherheits-Appliance von FireEye gefunden. Wie Computerworld berichtet, könnte ein Angreifer die Lücke benutzen, um sich Zugang zu einem Unternehmensnetzwerk zu verschaffen. FireEye hat bereits einen Patch für die Schwachstelle veröffentlicht.

Einer Stellungnahme des Unternehmens (PDF) zufolge sind die Sicherheitslösungen der Modellreihen NX, EX, FX und AX betroffen. Ihre Aufgabe ist es, den Netzwerkverkehr zu überwachen und verdächtige Dateien herauszufiltern, damit sie außerhalb des Netzwerks untersucht werden können. Dafür haben die anfälligen Geräte laut Computerworld vollständigen Zugriff auf ein Netzwerk. Ein Hacker, der die Kontrolle über eines der Geräte erhalte, sei dann ebenfalls in der Lage, den Datenverkehr zu überwachen oder gar eigenen Code einzufügen.

Der Fehler selbst steckt in dem Modul, das Java-Archive (JAR) analysiert. Tavis Ormandy, der die Anfälligkeit zusammen mit Natalie Silvanovich entdeckt hat, beschreibt die Sicherheitslücke als „Alptraum-Szenario“. Ein Angreifer müsse einem Opfer lediglich eine E-Mail schicken oder es dazu bewegen, auf einen Link zu klicken, um die Schwachstelle auszunutzen. „Der Empfänger müsste die E-Mail nicht einmal lesen, der Empfang wäre ausreichend“, schreibt Ormandy.

Sobald ein Hacker die Kontrolle über eine Appliance von FireEye erlangt habe, sei er auch in der Lage, ein Rootkit zu laden, andere Netzwerke zu infiltrieren oder einen sich selbst verbreitenden Wurm zu installieren, so Ormandy weiter. Der Schwachstelle gaben die Forscher dem Bericht zufolge den Spitznamen „666“ – allerdings nicht aufgrund des Schweregrads, sondern weil sie das 666. Advisory von Googles Project Zero ist.

FireEye haben sie demnach am vergangenen Freitag über das Sicherheitsleck informiert. Am Wochenende habe das Unternehmen bereits einen temporären Fix veröffentlicht. Der permanente Patch stehe seit Montag zur Verfügung.

Schon im September hatte der Sicherheitsforscher Kristian Erik Hermansen eine Sicherheitslücke in einer FireEye-Appliance öffentlich gemacht. Sie erlaubte einen unautorisierten Fernzugriff auf das Dateisystem eines FireEye-Webservers. In dem Fall wusste das Unternehmen dem Forscher zufolge schon seit 18 Monaten von dem Bug – ohne zu reagieren. Zur Veröffentlichung der Lücke mit einem Proof-of-Concept-Code entschloss er sich, da dieser bereits Kriminellen zum Kauf angeboten wurde.