Beim diesjährigen Hackerwettbewerb Pwn2Own, der heute im kanadischen Vancouver endet, haben Teilnehmer bereits am ersten Tag Preisgelder in Höhe von 240.000 Dollar eingesammelt. Unter anderem demonstrierten sie kritische Sicherheitslücken im Apple-Browser Safari und den Virtualisierungsanwendungen VirtualBox und VMware. Am gestrigen zweiten Tag kamen weitere 270.000 Dollar und neun bisher unbekannte Schwachstellen hinzu.
Denselben Betrag kassierte kurz darauf ein Mitarbeiter des Sicherheitsanbieters Star Labs. Auch er zeigte eine Schwachstelle in VirtualBox, um Code auf dem Hypervisor auszuführen. Cama und Zhu sicherten sich mit einem Out-of-Bounds-Schreibfehler in VMware Workstation und einer weiteren Codeausführung auf dem Host-System weitere 70.000 Dollar.
Den Abschluss bildeten drei Forscher, die sich als Phoenhex und Qwerty Team bezeichnen. Sie demonstrierten eine Exploit-Kette, um die vollständige Kontrolle über Safari und macOS zu erlangen. Da Apple einen Bug in der Kette bereits kannte, reduzierte sich ihr Preisgeld auf 45.000 Dollar.
Am zweiten Tag wandten sich Cama und Zhu zuerst dem Mozilla-Browser Firefox zu. Mit einem JIT-Bug und einem Speicherfehler im Windows-Kernel kompromittierten sie das System vollständig – ein Besuch einer speziell gestalteten Website mit Firefox führte ohne weitere Interaktion mit einem Nutzer zu einer Remotecodeausführung mit System-Rechten. Die Prämie für diese Schwachstellen belief sich auf 50.000 Dollar.
Danach öffneten sie eine weitere präparierte Website im Microsoft-Browser Edge, und zwar innerhalb einer virtuellen Maschine in VMware Workstation. Am Ende dieser Präsentation standen eine Codeausführung auf dem Windows-Host und ein Preisgeld von 130.000 Dollar. Damit schraubten sie ihren Ertrag der ersten beiden Tage auf insgesamt 340.000 Dollar.
Im weiteren Verlauf des Wettbewerbs knackte der deutsche Sicherheitsforscher Niklas Baumstark (alias Phoenhex) ebenfalls die Sandbox des Mozilla-Browser Firefox, und zwar für 40.000 Dollar. 50.000 Dollar gingen an Arthur Gerkis von Exodus Intelligence. Er führte Schadcode außerhalb der Sandbox von Edge aus.
Am heutigen letzten Tag beschäftigen sich die Forscher mit dem Bereich Automotive. Zwei Teams, darunter auch Cama und Zhu, wollen jeweils ein Tesla Model 3 hacken.
Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
