Pwn2Own 2017: Hacker knacken Safari, Adobe Reader, Edge und Ubuntu Linux

Hacker haben in den ersten beiden Tagen des Wettbewerbs Pwn2Own, der im Rahmen der Sicherheitskonferenz CanSecWest im kanadischen Vancouver stattfindet, zahlreiche Zero-Day-Lücken präsentiert. Sie stecken in Browsern wie Edge und Safari, Anwendungen wie Adobe Reader und Flash Player sowie Betriebssystemen wie Windows und Linux. Dabei wurden Belohnungen von bis zu 80.000 Dollar pro Sicherheitslücke ausgeschüttet.

Als erstes zeigten Mitarbeiter von 360 Security einen Heap-Überlauf in der JPEG200-Komponente von Adobe Reader. Kombiniert mit zwei weiteren Bugs im Windows-Kernel gelang es ihnen, die vollständige Kontrolle über das betroffene System zu übernehmen, was ihnen 50.000 Dollar einbrachte.

Die deutschen Sicherheitsforscher Samuel Groß und Niklas Baumstark haben Safari gehackt und eine Nachricht auf der Touch Bar des MacBook Pro eingeblendet (Bild: Twitter/Samuel Groß).Den deutschen Sicherheitsforschern Samuel Groß und Niklas Baumstark vom Karlsruher Institut für Technologie (KIT) gelang es, mithilfe mehrere Lücken in Safari Root-Rechte für macOS zu erhalten und eine Nachricht in der Touch Bar des neuen MacBook Pro zu hinterlassen. Ihre Belohnung belief sich auf 28.000 Dollar.

Über 80.000 Dollar durften sich Mitarbeiter von Tencent Security freuen. Sie demonstrierten einen Fehler in der Chakra-Engine des neuen Microsoft-Browsers Edge, der es ihnen erlaubte, Schadcode sogar außerhalb der Sandbox des Browsers auszuführen. Weitere 25.000 Dollar gingen an eine andere Forschergruppe von Tencent Security, nachdem sie erfolgreich Schadcode in Adobe Reader eingeschleust und mithilfe eines weiteren Use-after-free-Bugs im Windows-Kernel mit Systemrechten ausgeführt hatte.

Chaitlin Security zeigte, dass auch Ubuntu Linux anfällig für Hackerangriffe sein kann. Ein Heap Out-of-Bounds gab Forschern des Unternehmens Zugriff auf den Linux-Kernel, was dem Veranstalter Trend Micro 15.000 Dollar wert war.

Ebenfalls Root-Rechte für macOS sicherten sich Mitarbeiter von Chaitlin Security Research Lab. Sie kombinierten dafür insgesamt sechs Anfälligkeiten in Safari und Windows Server, was mit 35.000 Dollar belohnt wurde. Ein weiterer Angriff auf Safari zum Abschluss des ersten Tages scheiterte jedoch, weil er nicht in der vorgeschriebenen Zeit zum Abschluss gebracht wurde.

Am zweiten Tag gingen Mitarbeiter von 360 Security und Tencent Security jeweils erfolgreich gegen Adobe Flash Player vor. In beiden Fällen konnte Schadcode mit Systemrechten ausgeführt werden, was jeweils eine Prämie von 40.000 Dollar bedeutete. Forscher von Tencent Security präsentierten im Lauf des Tages zudem zwei weitere erfolgreiche Angriffe auf Microsoft Edge, eine Attacke auf Windows und eine Root-Lücke in macOS, an der erneut der Apple-Browser Safari beteiligt war.

Auch 360 Security-Mitarbeiter sicherten sich weitere Preisgelder, indem sie erfolgreiche Angriffe auf macOS und Safari demonstrierten. Der Mozilla-Browser Firefox fiel zudem Mitarbeitern von Chaitlin Security zum Opfer, die darüber hinaus auch einen Kernel-Bug in macOS vorführten. Einen weiteren Angriff auf Firefox konnte der Hamburger Sicherheitsforscher Moritz Jodelt von Blue Frost Security nicht in der erlaubten Zeit abschließen.

Für heute sind zwei weitere Sicherheitslücken in Microsoft Edge angekündigt. Zudem wollen Forscher zwei erfolgreiche Guest-to-Host-Angriffe vorführen, bei denen Schadcode aus einer virtuellen Maschine heraus auf dem Host-Betriebssystem ausgeführt wird. Da dies als besonders schwierig angesehen wird, hat der Trend Micros Zero Day Initiative für diese Art von Bugs ein Preisgeld von 100.000 Dollar ausgelobt.

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.