Am dritten und letzten Tag des Hackerwettbewerbs Pwn2Own 2017 haben Mitarbeiter von 360 Security einen Fehler im Microsoft-Browser Edge demonstriert, der es ihnen erlaubte, eine virtuelle Maschine zu kompromittieren und beliebigen Code auf dem Host-Betriebssystem auszuführen. Die Vorführung benötigte lediglich 90 Sekunden, wie Dustin Childs von Trend Micros Zero Day Initiative in einem Blogeintrag festhält.
Das Team Sniper des ebenfalls chinesischen Sicherheitsanbieters Tencent Security versuchte sich zum Abschluss des dritten Tags ebenfalls an einem Guest-to-Host-Escape. Sie nutzten einen Use-after-free-Bug im Windows Kernel sowie zwei weitere Schwachstellen in VMware Workstation, um ebenfalls die virtuelle Maschine unerlaubt zu verlassen und das Host-Betriebssystem erfolgreich anzugreifen. Auch das Team Sniper kassierte die dafür ausgelobte Belohnung von 100.000 Dollar.
Darüber hinaus präsentierte der Sicherheitsforscher Richard Zhu eine weitere Anfälligkeit in Edge. Er konnte mithilfe von zwei Use-after-free-Bugs und einem Pufferüberlauf im Windows-Kernel Code außerhalb der Sandbox des Browsers ausführen – allerdings erst im zweiten Anlauf. Trotzdem sicherte er sich eine Prämie von 55.000 Dollar.
Insgesamt zeigten Forscher während Pwn2Own 2017 51 zuvor unbekannte Sicherheitslücken. Der Veranstalter schütte zudem 833.000 Dollar an die teilnehmenden Forscher und Unternehmen aus, die für jeden Bug auch sogenannte Pwn-Punkte erhielten. Davon sicherte sich 360 Security im Lauf des Wettbewerbs 63, was dem Unternehmen auch den Titel „Master of Pwn“ einbrachte. Das Team Sniper von Tencent Security landete mit 60 Punkten auf dem zweiten Platz, gefolgt von Chaitlin Security Research Lab mit 26 Punkten. Außerdem durften die Teilnehmer wie jedes Jahr die von ihnen kompromittierten Notebooks behalten.
An den ersten beiden Tagen fielen den Hackern neben Microsoft Edge und Windows 10 auch Ubuntu-Linux, Adobe Reader und Flash Player, Mozilla Firefox und Apple Safari zum Opfer. Nicht angegriffen wurden Google Chrome und die Microsoft-Office-Anwendungen Word, Excel und PowerPoint. Darüber hinaus gab es keinen Versuch, Apache Web Server auf Ubuntu Server zu knacken, was immerhin ein Preisgeld von 200.000 Dollar eingebracht hätte.
Wie Sie Ihr persönliches Internet der Dinge vor versteckten Gefahren schützen
[mit Material von Chris Duckett, ZDNet.com]
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
