Yahoo geizt bei Prämie für Sicherheitshinweis zu Polyvore
Der Internetriese Yahoo hat einem Sicherheitsforscher für den Hinweis auf eine Lücke in der Software von ImageMagick belohnt. Behrouz Sadeghipour hatte den Konzern über eine ImageMagick-Lücke auf Polyvore hingewiesen und übermittelte ein Proof-of-Concept-Code für einen eventuellen Hackerangriff.
ImageMagick ist eine „quelloffene Library“, die vielfach benutzt wird. Aufgrund der Anfälligkeit für Hackerangriffe wird sie in Sicherheitskreisen auch „Image Tragick“ genannt. Mittels der Upload Funktion können Hacker präparierte Dateien einschleusen und danach Malware verbreiten oder Lösegeld für Webseitensperrungen einfordern. CloudFlare hat bereits bemerkt , dass die Lücke mit der Bezeichnung CVE-2016-3714 bereits für Hackerangriffe genutzt wird. Entdeckt wurde sie vom Mail.ru Sicherheitsteam-Mitarbeiter Nikolai Ermischkin.
Behrouz Sadeghipour hatte einen Zusammenhang mit Polyvore entdeckt und danach Yahoo als Mutterkonzern darauf hingewiesen. Polyvore gehört erst seit 2015 zu Yahoo. Das amerikanische Unternehmen zahlte dem Sicherheitsforscher für den Hinweis eine anteilige Prämie von 2.000 USD, was dieser als „zu wenig“ empfindet. Die Schwachstelle könnte von Cyberkriminellen zur Übernahme von Polyvore ausgenutzt werden. In der Folge könnten Yahoo-Domains infiltriert oder beschädigt werden. Für diesen wichtigen Hinweis hätte der Internetriese die volle Prämie von 15.000 USD für die Entdeckung „Schwachstellen der höchsten Risikogruppe“ erhalten sollen, argumentiert der Sicherheitsforscher.
Sicherheitsleck ist schon länger bekannt
Yahoo lässt sich davon nicht beirren. Die Sicherheitslücke auf ImageMagick ist schon seit Mitte April bekannt und wurde bereits teilweise geschlossen.
CloudFlare rudert nun in seinen Statements zurück und berichtet, dass nur „Versuche“ von Hackern gestartet wurden, über die Library offene Server zu finden und zu übernehmen. Ein erfolgreicher Hackerangriff über ImageMagick wurde aber noch nicht festgestellt. Das Sicherheitsteam von Sucuri hat Angriffe mittels JPG Bilder mit Schadcode ermittelt. Bisher seien es nur vereinzelte Angriffsversuche. Doch laut Sicherheitsforschern und Beobachtern wird sich das schnell ändern. Die Angriffe werden in kürzeren Abständen erfolgen und deutlich zunehmen.