Hacker haben in den ersten beiden Tagen des Wettbewerbs Pwn2Own, der im Rahmen der Sicherheitskonferenz CanSecWest im kanadischen Vancouver stattfindet, zahlreiche Zero-Day-Lücken präsentiert. Sie stecken in Browsern wie Edge und Safari, Anwendungen wie Adobe Reader und Flash Player sowie Betriebssystemen wie Windows und Linux. Dabei wurden Belohnungen von bis zu 80.000 Dollar pro Sicherheitslücke ausgeschüttet.
Als erstes zeigten Mitarbeiter von 360 Security einen Heap-Überlauf in der JPEG200-Komponente von Adobe Reader. Kombiniert mit zwei weiteren Bugs im Windows-Kernel gelang es ihnen, die vollständige Kontrolle über das betroffene System zu übernehmen, was ihnen 50.000 Dollar einbrachte.
Über 80.000 Dollar durften sich Mitarbeiter von Tencent Security freuen. Sie demonstrierten einen Fehler in der Chakra-Engine des neuen Microsoft-Browsers Edge, der es ihnen erlaubte, Schadcode sogar außerhalb der Sandbox des Browsers auszuführen. Weitere 25.000 Dollar gingen an eine andere Forschergruppe von Tencent Security, nachdem sie erfolgreich Schadcode in Adobe Reader eingeschleust und mithilfe eines weiteren Use-after-free-Bugs im Windows-Kernel mit Systemrechten ausgeführt hatte.
Chaitlin Security zeigte, dass auch Ubuntu Linux anfällig für Hackerangriffe sein kann. Ein Heap Out-of-Bounds gab Forschern des Unternehmens Zugriff auf den Linux-Kernel, was dem Veranstalter Trend Micro 15.000 Dollar wert war.
Ebenfalls Root-Rechte für macOS sicherten sich Mitarbeiter von Chaitlin Security Research Lab. Sie kombinierten dafür insgesamt sechs Anfälligkeiten in Safari und Windows Server, was mit 35.000 Dollar belohnt wurde. Ein weiterer Angriff auf Safari zum Abschluss des ersten Tages scheiterte jedoch, weil er nicht in der vorgeschriebenen Zeit zum Abschluss gebracht wurde.
Am zweiten Tag gingen Mitarbeiter von 360 Security und Tencent Security jeweils erfolgreich gegen Adobe Flash Player vor. In beiden Fällen konnte Schadcode mit Systemrechten ausgeführt werden, was jeweils eine Prämie von 40.000 Dollar bedeutete. Forscher von Tencent Security präsentierten im Lauf des Tages zudem zwei weitere erfolgreiche Angriffe auf Microsoft Edge, eine Attacke auf Windows und eine Root-Lücke in macOS, an der erneut der Apple-Browser Safari beteiligt war.
Auch 360 Security-Mitarbeiter sicherten sich weitere Preisgelder, indem sie erfolgreiche Angriffe auf macOS und Safari demonstrierten. Der Mozilla-Browser Firefox fiel zudem Mitarbeitern von Chaitlin Security zum Opfer, die darüber hinaus auch einen Kernel-Bug in macOS vorführten. Einen weiteren Angriff auf Firefox konnte der Hamburger Sicherheitsforscher Moritz Jodelt von Blue Frost Security nicht in der erlaubten Zeit abschließen.
Für heute sind zwei weitere Sicherheitslücken in Microsoft Edge angekündigt. Zudem wollen Forscher zwei erfolgreiche Guest-to-Host-Angriffe vorführen, bei denen Schadcode aus einer virtuellen Maschine heraus auf dem Host-Betriebssystem ausgeführt wird. Da dies als besonders schwierig angesehen wird, hat der Trend Micros Zero Day Initiative für diese Art von Bugs ein Preisgeld von 100.000 Dollar ausgelobt.
Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.
Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
OutSystems-Studie: 62 Prozent der Befragten haben Sicherheits- und Governance-Bedenken bei Softwareentwicklung mit KI-Unterstützung.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
