Beim diesjährigen Hackerwettbewerb Pwn2Own Mobile, der gestern in der japanischen Hauptstadt Tokio zu Ende gegangen ist, haben Sicherheitsforscher zwei Schwachstellen im Apple-Browser Safari auf einem iPhone X demonstriert. Die Bugs erlaubten es ihnen, ein gelöschtes Foto wiederherzustellen und zu stehlen.
Die Vorführung brachte den beiden Forschern 50.000 Dollar und acht sogenannte Master-of-Pwn-Punkte ein, anhand derer der Veranstalter einen Sieger des Wettbewerbs ermittelt. Aufgrund weiterer erfolgreicher Angriffe sicherten sich Cama und Zhu diesen Titel mit insgesamt 45 Punkten.
Auch am ersten Tag nutzte das Duo einen Bug im JIT-Compiler zusammen mit einem Out-of-Bounds-Speicherzugriff, um Schadcode auf einem iPhone X einzuschleusen und auszuführen. Dafür erhielten sie 60.000 Dollar und 10 Punkte. Am gestrigen zweiten Tag kam ein Integer-Überlauf in der JavaScript-Engine des Xiaomi-Browsers hinzu. Auch in diesem Fall erhielten sie Zugriff auf gespeicherte Fotos, was mit 25.000 Dollar und sechs Punkten belohnt wurde.
Den Wettbewerb hatten Fluoroacetate indes mit einer Schwachstelle in der NFC-Funktion eines Xiaomi Mi6 eröffnet. Per Nahfunktechnik brachten sie das Smartphone dazu, eine von ihnen vorgegebene schädliche Website zu öffnen. Ein weiterer Bug in WebAssembly erlaubte schließlich eine Remotecodeausführung, was den beiden Forschern die ersten 30.000 Dollar und sechs Punkte einbrachte.
Ebenfalls am ersten Tag knackten sie die Baseband-Komponente eines Samsung Galaxy S9. Ein Heap-Überlauf führte ebenfalls zum Einschleusen von Schadcode. Für einen solchen Bug hatte Trend Micro im Vorfeld 50.000 Dollar und 15 Punkte ausgelobt.
Insgesamt verteilte die Zero Day Initiative 325.000 Dollar an die Teilnehmer, die erfolgreiche Angriffe vorführten. Davon gingen 215.000 Dollar alleine an die Forscher Cama und Zhu. Außerdem wurden während des Wettbewerbs insgesamt 18 Zero-Day-Lücken enthüllt.
Für viele Unternehmen ist noch immer unklar, welche Vorteile ein cloudbasiertes Contact Center bietet. Dieses E-Book von Genesys löst die Mythen rund um Cloud Contact Center auf.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
