Pwn2Own 2019: Hacker knacken Apple Safari VirtualBox und VMware

Beim diesjährigen Hackerwettbewerb Pwn2Own, der heute im kanadischen Vancouver endet, haben Teilnehmer bereits am ersten Tag Preisgelder in Höhe von 240.000 Dollar eingesammelt. Unter anderem demonstrierten sie kritische Sicherheitslücken im Apple-Browser Safari und den Virtualisierungsanwendungen VirtualBox und VMware. Am gestrigen zweiten Tag kamen weitere 270.000 Dollar und neun bisher unbekannte Schwachstellen hinzu.

Zum Auftakt des Wettbewerbs präsentierten die Forscher Amat Cama und Richard Zhu einen Integer-Überlauf in Safari, der es ihnen erlaubte, Schadcode außerhalb der Sandbox des Browsers auszuführen. Sie wurden mit 55 Dollar belohnt. Direkt im Anschluss griffen sie erfolgreich Oracles kostenlose Virtualisierungssoftware VirtualBox an, um auf dem Host den Taschenrechner zu starten. Das brachte ihnen weitere 35.000 Dollar ein.

Denselben Betrag kassierte kurz darauf ein Mitarbeiter des Sicherheitsanbieters Star Labs. Auch er zeigte eine Schwachstelle in VirtualBox, um Code auf dem Hypervisor auszuführen. Cama und Zhu sicherten sich mit einem Out-of-Bounds-Schreibfehler in VMware Workstation und einer weiteren Codeausführung auf dem Host-System weitere 70.000 Dollar.

Den Abschluss bildeten drei Forscher, die sich als Phoenhex und Qwerty Team bezeichnen. Sie demonstrierten eine Exploit-Kette, um die vollständige Kontrolle über Safari und macOS zu erlangen. Da Apple einen Bug in der Kette bereits kannte, reduzierte sich ihr Preisgeld auf 45.000 Dollar.

Am zweiten Tag wandten sich Cama und Zhu zuerst dem Mozilla-Browser Firefox zu. Mit einem JIT-Bug und einem Speicherfehler im Windows-Kernel kompromittierten sie das System vollständig – ein Besuch einer speziell gestalteten Website mit Firefox führte ohne weitere Interaktion mit einem Nutzer zu einer Remotecodeausführung mit System-Rechten. Die Prämie für diese Schwachstellen belief sich auf 50.000 Dollar.

Danach öffneten sie eine weitere präparierte Website im Microsoft-Browser Edge, und zwar innerhalb einer virtuellen Maschine in VMware Workstation. Am Ende dieser Präsentation standen eine Codeausführung auf dem Windows-Host und ein Preisgeld von 130.000 Dollar. Damit schraubten sie ihren Ertrag der ersten beiden Tage auf insgesamt 340.000 Dollar.

Im weiteren Verlauf des Wettbewerbs knackte der deutsche Sicherheitsforscher Niklas Baumstark (alias Phoenhex) ebenfalls die Sandbox des Mozilla-Browser Firefox, und zwar für 40.000 Dollar. 50.000 Dollar gingen an Arthur Gerkis von Exodus Intelligence. Er führte Schadcode außerhalb der Sandbox von Edge aus.

Am heutigen letzten Tag beschäftigen sich die Forscher mit dem Bereich Automotive. Zwei Teams, darunter auch Cama und Zhu, wollen jeweils ein Tesla Model 3 hacken.