mini|hochkant|Benjamin Kunz Mejri (2017)
Benjamin Kunz Mejri (* 6. Mai 1983) ist ein deutscher IT-Sicherheitsspezialist und Penetrationstester. Zu seinen Forschungsgebieten gehören Sicherheitslücken in Computersystemen, Bug Bounties, die Sicherheit von E-Payment Zahlungsdiensten und der Schutz der Privatsphäre. Mejri ist bekannt dafür, neue Sicherheitslücken aufzudecken und diese zu veröffentlichen.
Leben Benjamin Kunz Mejri wuchs in Kassel in Hessen auf und besuchte von 2003 bis 2005 die Fachoberschule Kassel in der Fachrichtung Wirtschaftsinformatik. 2005 veröffentlichte er auf der Cebit in Hannover mit der Firma F-Secure zum ersten Mal einen Beitrag über eine SSL Zero-Day Sicherheitslücke in der Mozilla Firefox Browser Engine.
2005 eröffnete Kunz Mejri das erste Labor als Portal für Forscher zum Aufzeichnen von Bug-Bounty-Sicherheitslücken. Das öffentliche Schwachstellen-Labor hat über 1.000 aktive Forscher aus dem internationalen Raum und listet über 2.000 eigens gemeldete Sicherheitslücken mit den technischen Details auf. Zusätzlich verfügt das Labor über Dokumente, Videos und Analysen aus dem Bereich IT-Sicherheit im Bezug auf Sicherheitslücken. Vulnerability Laboratory ist das erste international registrierte Schwachstellenportal für unabhängige Forscher im Bereich der IT-Sicherheit.
Kunz Mejri startete 2010 die Firma Evolution Security mit dem Entwickler Pim Campers aus den Niederlanden. Die Firma ist bekannt für manuelle Sicherheitsprüfungen und das Aufdecken von Hintertüren in Betriebssystemen, Hardware oder Software. 2014 änderte die Firma ihre Rechtsform und wurde offiziell eine GmbH mit Sitz im Technologiezentrum in Kassel-Wilhelmshöhe.
Veröffentlichte Sicherheitslücken Flughafen-Sicherheit München, Köln/Bonn und Düsseldorf 2012 meldete Kunz Mejri mehrere kritische Sicherheitslücken in der Infrastruktur deutscher Flughäfen. Die Sicherheitslücken erlaubten das Auslesen der SQL-Datenbankeinträge der Flughäfen Düsseldorf, Köln/Bonn und München. Betroffen waren auch verbundene Fluggesellschaften wie z. B. die deutsche Lufthansa oder Air Berlin. Nach der Veröffentlichung zweier Sicherheitslücken in Flughafen-Serviceseiten veränderte sich die digitale Sicherheitsarchitektur der betroffenen Firmen dauerhaft.
Microsoft- und Skype-Account-System 2012 veröffentlichte Kunz Mejri vier kritische Sicherheitslücken in Microsoft über Skype, die es erlaubten, dass auf jeden Hotmail-, Live-, Xbox- und Skype-Account ohne Erlaubnis zugegriffen werden konnte. Seine Analyse mit Sicherheitsartikel floss in die Produktion der neuen Account-Systeme ein und verbesserte die Infrastruktur der Logins von Microsoft nachhaltig.
Im Februar 2013 meldete Mejri eine kritische Sicherheitslücke in der Validierung der offiziellen Sharepoint Cloud Web-Applikation von Microsoft. Anfang September 2013 untersuchten die Sicherheitsfirma Symantec und das SANS-Institut die neu nachgewiesene Sicherheitslücke in Sharepoint. Im gleichen Jahr wurden von Mejri 16 bestätigte Sicherheitslücken in der Office 365 Cloud Software an das Microsoft Security Response Center eingereicht. Bis Ende 2013 wurden alle gemeldeten Sicherheitslücken durch die Entwicklungs- und Sicherheitsabteilung von Microsoft geschlossen.
Ende Juli 2017 veröffentlichte Mejri in Kooperation mit dem Microsoft Security Response Center eine als kritisch eingestufte Sicherheitslücke in Skype. Durch einen Puffer-Überlauf bei der Übertragung der Zwischenablage mit dem Remote Desktop Protokoll (RDP) konnte die Sicherheitslücke von Angreifern aus der Ferne ausgenutzt werden. Betroffen waren die Skype-Windows-Software-Versionen 7.2, 7.35 und 7.36.
Barracuda-Networks-Infrastruktur 2013 veröffentlichte Kunz Mejri außerdem über 40 Sicherheitslücken in der Barracuda-Networks-Firewall und anderen Produkten. Alle Sicherheitslücken wurden im Laufe des Jahres vom Hersteller zuverlässig geschlossen. Die ausgehändigten Dokumente wurden vom Entwicklerteam der Firma und Dave Farrow für zukünftige Prozesse aufgearbeitet. Kunz Mejri beeinflusste von 2013 bis 2014 somit dauerhaft die Sicherheit der Barracuda-Networks-Produktserie.
Apple iOS Passcode 2014 veröffentlichte Kunz Mejri zum ersten Mal eine neuartige Sicherheitslücke in iOS V6, die es erlaubte, die Passcode-Sicherheitsfunktion zu umgehen. Die Sicherheitslücke fand sich in der Funktion für Notrufe und erlaubte den Zugriff auf das Gerät ohne die Eingabe eines Pins. Kurz darauf im gleichen Jahr entwickelte Mejri ein Exploit, das iOS-Geräte der Version V6.x in einen sogenannten „Black Screen Mode“ (Schwarzer-Bildschirm-Modus) versetzte und so den Zugriff auf den internen Speicher erlaubte. Nachdem die Sicherheitslücke veröffentlicht wurde, stiegen die Notrufe durch das missbräuchliche Ausnutzen bei Nachahmung der Sicherheitslücke im internationalen Raum um 17 %. Die Sicherheitslücke wurde von Apple einen Monat nach der Veröffentlichung geschlossen.
2015 stellte Mejri dann in einem öffentlichen Video vor, wie man die neueste SIM-Lock eines iOS-V7.x-Geräts aushebeln kann, um das Gerät unerlaubt zu benutzen. Ca. 14 Tage nach der Veröffentlichung der Sicherheitslücke wurde auch diese von Apple mit einem neuen Release beseitigt.
Im März 2016 veröffentlichte Mejri eine weitere Sicherheitslücke in Siri von Apple. Siri erlaubte es durch eine weitere, nicht beschränkte Funktion, ohne Passcode oder Fingerabdruck die Gerätesperre unerlaubt zu überwinden. Apple veröffentlichte noch am gleichen Tag einen Hotfix, der die API-Calls von Siri umlenkte, um das Sicherheitsproblem temporär zu schließen.
Von August auf September 2016 meldete und veröffentlichte Mejri vier unterschiedliche Schwachstellen aus dem Bereich der Rechte-Erweiterung für iPads und iPhones mit iOS V9.x.
Im November 2016 veröffentlichte Mejri mehrere als kritisch eingestufte Sicherheitslücken in iOS-Version 10.1.1. Die erste gemeldete Schwachstelle vom November 2016 befand sich in der Funktion für Nachrichten von gesperrten iPad- und iPhone-Geräten. Durch einen Fehler in Verbindung mit der Voice-Over-Funktion, konnten lokale Angreifer die Passcode-Sicherheitsfunktion dauerhaft umgehen, um so auf sensible Gerätedaten zuzugreifen. Die zweite Sicherheitslücke aus der Veröffentlichung im Dezember 2016, erlaubte es Angreifern den aktivierten Diebstahlschutz von iOS-Geräten auszuhebeln. Die Sicherheitslücke konnte durch einen lokal verursachten Buffer Overflow in Verbindung mit einem Anwendungsabsturz ausgenutzt werden.
NASA-Mission Orion Am 4. Dezember 2014 veröffentlichte Kunz Mejri eine Sicherheitslücke in der Boarding-Pass-Applikation der Orion-Mission der amerikanischen Raumfahrtbehörde NASA. Die Sicherheitslücke wurde am 25. November 2014 an das CERT-Team des US-Verteidigungsministeriums übermittelt. Die Boarding-Pass-Informationen der Applikation wurden später mit Elektronenstrahllithografie auf einen Silicon-Microchip-Prototyp geschrieben, der an Bord der Raumfähre zum 4. Dezember startete. Einer der Test Exploit Payloads des Forschers wurde von der NASA nicht gelöscht und auf den isolierten Mikrochip übertragen. Mejris Exploit Payload verbrachte nach dem Launch der Rakete vier Stunden und 24 Minuten in zwei elliptischen Umlaufbahnen um die Erde mit einem Apogäum (Höhepunkt) von 5800 Kilometern. Eine Untersuchung der NASA mit einem elfköpfigen Team bestätigte, dass einer der gespeicherten Payloads im Boarding Pass versehentlich auf den Silicon-Microchip geschrieben wurde. Da der Mikrochip aber isoliert war, bestand keine Gefahr für die Technik oder das Raumfahrzeug selbst. Die NASA stellte Mejri einige Tage ein eigens präpariertes Bild bereit, mit einem Scherzeintrag von Mejri in der NASA-No-Fly-Liste.
Telestar-Digital Web Radios (IoT) Am 9. Oktober 2019 veröffentlichte Kunz Mejri eine Sicherheitslücke in IoT-Web-Radios der Firma Telestar-Digital GmbH. Angreifer konnten etwaige Opfer von außen belauschen sowie das Endgerät modifizieren und manipulieren. Die Sicherheitslücke betraf mehrere Millionen Endgeräte und galt als kritisch, da die gleiche Firmware durch französische Dienstleister ebenfalls anderen Unternehmen in Europa sowie Asien angeboten wurde. Die Schwachstelle wurde offiziell auch als Telnet-Hintertür bekannt und durch Kaspersky sowie Eugene Kaspersky persönlich in einer Review öffentlich bewertet.
PayPal Inc & J.P. Morgan Von 2011 bis 2016 arbeitete Kunz Mejri an der Verbesserung der Sicherheit in PayPal sowie J.P. Morgan und eBay Inc. Bis 2016 veröffentlichte Kunz Mejri über 120 Sicherheitslücken in der PayPal-Web-Infrastruktur. Er war der erste Deutsche, der am offiziellen Bug-Bounty-Programm der Firma PayPal erfolgreich teilnahm. 2013 meldete der Sicherheitsforscher mehrere SQL-Injection-Sicherheitslücken in PayPals BillSafe-Dienstleister. 2014 fand Kunz Mejri mit Hilfe der mobilen API aus der PayPal-iOS-App eine Sicherheitslücke, die es ihm erlaubte, auf jeden Account von PayPal zuzugreifen.
Wincor Nixdorf – Sparkassen-Geldautomaten und SB-Terminals 2015 veröffentlichte Kunz Mejri eine Sicherheitslücke als Reportage in SB-Terminals und Geldautomaten der Firma Wincor Nixdorf. Die Geldautomaten wurden von der Sparkasse deutschlandweit genutzt. Mit Hilfe einer Tastenkombination konnte Mejri eine Updatekonsole des Administrators sichtbar machen, die Einsicht in sensible Daten gab. Die Sicherheitslücke wurde von Wincor Nixdorf dauerhaft behoben.
BMW AG & ConnectedDrive Im Januar 2016 veröffentlichte Kunz Mejri zwei Sicherheitslücken in den BMW-ConnectedDrive-Applikationen für Mobiltelefone. Betroffen waren Applikationen für Apples iOS und Googles Android. Die erste Sicherheitslücke erlaubt das Auslesen der Browser-Cookie-Informationen beim Anmelden und Zurücksetzen der Benutzerpasswörter. Die Sicherheitslücke erlaubte das Umgehen der Anmeldefunktion durch Manipulation des Token-Parameters. Die zweite gemeldete Sicherheitslücke wurde von BMW als kritisch eingestuft und erlaubte Angreifern den unautorisierten Zugriff auf das Infotainment-System von betroffenen BMW-Fahrzeugen. Die Sicherheitslücke konnte über eine fehlerhafte Sicherheitsprüfung der VIN (Vehicle Identification Number) im Service-Portal ausgenutzt werden. Im September wurden beide Schwachstellen im Rahmen einer Sicherheitsprüfung von der BMW-Sicherheitsabteilung behoben.
Wickr Inc Im Januar 2017 überreichte die Firma Wickr (verschlüsselter Sofortnachrichtendienst) zum ersten Mal im offiziellen Bug-Bounty-Programm einen höheren Preis an Kunz Mejri für die erbrachte Forschung im Bereich der IT-Sicherheit. Da seine ersten Forschungsergebnisse mit Schwachstellen aus 2014 von Wickr Inc nicht beantwortet werden konnten, wurden einige der Information von ihm 2016 veröffentlicht. Daraufhin reagierte der Wickr Inc Vice President of Engineering Christopher Howell mit einer internen Prüfung. Im Anschluss an die Prüfung belohnte Howell den Sicherheitsforscher für die Identifikation und Dokumentation der Schwachstellen.
Trivia Mejri hielt 2017 Vorträge bei der dritten Cyber-Awareness-Veranstaltung im Bildungszentrum der Bundeswehr in Mannheim und auf der Internet-Security-Konferenz in Peking.
2018, 2019 und 2020 war Mejri mehrfach im deutschen Fernsehen in Interviews und Dokumentationen mit Themenschwerpunkt Informationssicherheit zu sehen.
Anfang September 2020 war Mejri im Hessischen Rundfunk in einem Podcast zum Thema NSU 2.0 Todesdrohungen zu hören.
Ende Mai 2021 war Mejri in der ARD bei Plusminus in einer SWR-Dokumentation mit dem Thema Ransomware und Cyberkriminalität zu sehen. Im Juli folgte eine weitere Dokumentation für die ARD zum Thema „Verschlüsselte Chat-Kommunikation: Das Dilemma für den Staat“.