Mobile Pwn2Own: Hacker knacken Chrome und IE11

Am letzten Tag des Hackerwettbewerbs Mobile Pwn2Own haben Sicherheitsforscher zuvor unbekannte Schwachstellen in Chrome für Android und Internet Explorer 11 unter Windows 8.1 demonstriert. Die Anfälligkeiten erlaubten es ihnen, die Kontrolle über ein Surface RT von Microsoft beziehungsweise die Smartphones Nexus 4 und Samsung Galaxy S4 zu übernehmen. Das berichtet Computerworld. Der Wettbewerb findet anlässlich der Konferenz PacSec Applied Security in der japanischen Hauptstadt Tokio statt.

Die Lücke in Chrome für Android präsentierte „Pinkie Pie“, der schon mehrfach Fehler im Google-Browser entdeckt hat. Im März etwa zeigte er beim Wettbewerb Pwnium einen ersten Exploit für Chrome OS. Die neue Chrome-Lücke brachte ihm nun eine Prämie von 50.000 Dollar ein. Um den Browser zu kompromittieren, kombinierte er einen Integerüberlauf mit einer weiteren, nicht näher bezeichneten Schwachstelle, um Schadcode außerhalb der Sandbox auszuführen.

Google bietet inzwischen einen Fix für die Browser-Lücke an. Nutzer von Chrome für Android sollten das Update auf die Version 31.0.1650.59 einspielen, das nach Unternehmensangaben in den kommenden Tagen im Google Play Store erhältlich sein wird. Für Windows, Mac OS X und Linux steht die Version 31.0.1650.57 zur Verfügung. Das von der Anfälligkeit ausgehende Risiko stuft Google aufgrund der Umgehung der Sandbox als kritisch ein.

Das Leck in Internet Explorer 11 wurde Computerworld zufolge von den Forschern Aziz Hariri und Matt Molinyawe vorgeführt, die für Hewlett-Packards Zero Day Initiative arbeiten, den Veranstalter von Mobile Pwn2Own. „Einen Bug in IE auszunutzen ist aufgrund der Schutzmaßnahmen und Sicherheitskontrollen, die Microsoft implementiert hat, grundsätzlich schwierig“, wird Hariri zitiert. Um an eine Speicheradresse zu kommen und Schadcode ausführen zu können, müsse die Anfälligkeit zweimal ausgenutzt werden. Erst danach sei es möglich, die vollständige Kontrolle zu übernehmen.

Am ersten Tag des Wettbewerbs hatten Hacker Lücken in zwei Versionen von iOS (6.1.4 und 7.0.3) nachgewiesen. Sie waren in der Lage, ein gespeichertes Foto und auch die Cookie-Datenbank von Safari auszulesen. Mitarbeiter der japanischen Sicherheitsfirma Mitsui Bussan Secure Directions nutzen eine Reihe von Schwachstellen in Standardprogrammen des Galaxy S4 aus, um ohne erkennbare Anzeichen eine Malware auf Systemebene zu installieren. Sie beschränken sich allerdings auf das Samsung-Smartphone; es handelt sich nicht um Android-Lücken.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de