Zero-Day-Lücken bei FireEye und Kaspersky

Im Fall von FireEye sind dessen Sicherheits-AppliancesSicherheits-Appliances betroffen (welche Modelle genau ist unklar). Sie enthalten eine Schwachstelle, über die ein externer Angreifer komplett die Kontrolle über die Geräte erlangen kann. Angriffsvektor ist der Webserver der Appliance-Software, der mit vollen Root-Rechten läuft. Der Experte Kristian Erik Hermansen hat den Fehler entdeckt und über 18 Monate lang (!) versucht, Anbieter FireEye davon zu überzeugen, diesen und weitere Schwachstellen zu beseitigen. Leider ohne Erfolg, weswegen Hermansen die erste Sicherheitslücke nun via Pastebin veröffentlicht hat. Alles zu Security auf CIO.de

Einen Patch hat FireEye noch nicht. Das Unternehmen hat die Lücke aber gegenüber "heise Security" bestätigt und erklärt, sie werde bislang noch nicht aktiv für Angriffe ausgenutzt (weswegen man auch die Kunden noch nicht informiert habe). Mit Appliances von FireEye kann man unter anderem Mailserver, Endpoints und komplette Netze absichern.

Okay, first Kaspersky exploit finished, works great on 15 and 16. Will mail report after dinner. /cc @ryanaraine pic.twitter.com/IpifiWpoEU

— Tavis Ormandy (@taviso) 5. September 2015

Der wegen seiner offensiven Veröffentlichungen nicht unumstrittene Google-Sicherheitsforscher Tavis Ormandy hat eine "Zero-Interaction"-Buffer-Overflow-Schwachstelle in den voreingestellten Installations-Konfigurationen der aktuellen Antivirus-Versionen 15 und 16 von Kaspersky gefunden, über die ein Angreifer Systemrechte erlangen kann. Die russische Sicherheitsfirma stellte binnen 24 Stunden einen entsprechenden Patch bereit und bedankte sich bei dem Experten (ohne dessen Öffentlichmachen der Lücke zu erwähnen).

Verärgert angesichts von Ormandys Full Disclosure äußerte sich aber der Sicherheitsexperte Graham Cluley. Dieser kritisierte konkret den Termin der Veröffentlichung über das lange Labor-Day-Wochenende in den USA. An dem verreisten viele US-Amerikaner, was es Anbietern erschwere, zeitnah eine Antwort für besorgte Nutzer bereitszustellen. In der Vergangenheit hätten Cyberkriminelle schon des öfteren von Ormandy publizierte Schwachstellen für Angriffe benutzt. Anwender und Admins sollten die Patches von Kaspersky baldestmöglich einspielen, rät der Branchendienst "The Register".