2062894

Alle Browser beim Pwn2Own 2015 gehackt

23.03.2015 | 10:33 Uhr |

Beim diesjährigen Hacker-Wettbewerb Pwn2Own in Vancouver sind nicht nur Internet Explorer, Firefox, Safari und Chrome gefallen, auch Adobe Reader und Flash wurden gehackt.

Alle Jahre wieder findet im kanadischen Vancouver die Sicherheitskonferenz CanSecWest statt. Seit 2007 bildet sie auch den Rahmen für den Hacker-Wettbewerb Pwn2Own der HP-Tochter Tipping Point. Aufgabe der Teilnehmer ist es bis dahin unbekannte Sicherheitslücken auszunutzen, um die Kontrolle über bereit gestellte Rechner zu erlangen. Als Zielscheibe dienen die neuesten Versionen der Browser Internet Explorer (IE), Firefox, Chrome (alle unter Windows 8.1) und Safari (64 Bit; OS X) sowie Adobe Reader und Flash Player. Im Erfolgsfall winken Geldpreise sowie je ein HP Omen Notebook.

Der erste Tag des diesjährigen Wettbewerbs begann mit dem Flash Player. Team509 und KeenTeam gelang es mit vereinten Kräften einen Speicherüberlauf im Flash Player zu erzeugen, der es ihnen ermöglichte eingeschleusten Code auszuführen. Das nutzten die Sicherheitsforscher, um sich über eine Schwachstelle im Windows-Kernel Systemrechte zu verschaffen. Sie erhalten 60.000 US-Dollar für den Flash-Exploit und 25.000 Dollar für die TTF-Lücke in Windows.

Nicolas Joly, vormals bei VUPEN, war danach an der Reihe. Sein Flash-Exploit, eine Use-after-Free-Lücke, bringt ihm nur 30.000 Dollar, weil ihm das Los den zweiten Startplatz zugewiesen hatte und die volle Prämie nur für den ersten erfolgreichen Hack jeder Zielscheibe ausgezahlt wird. Joly konnte das mit einem erfolgreichen Angriff auf den Adobe Reader ausgleichen, der ihm 60.000 Dollar einbringt. Diesmal waren das KeenTeam und Jun Mao (Tencent) in der zweiten Position. Sie knackten nicht nur den Reader, sondern verschafften sich auch mit einer weiteren Truetype-Lücke Systemrechte. Das ergibt 30.000 Dollar für den PDF-Exploit und 25.000 Dollar Bonus für die zweite TTF-Lücke im Windows-Kernel.

Mariusz Mlynski brauchte nur eine halbe Sekunde, um Firefox mit einer Kombination aus zwei Schwachstellen zu knacken (Prämie: 30.000 Dollar). Auch er konnte sich daraufhin Systemrechte verschaffen, was im einen Bonus von 25.000 Dollar einbringt. Das 360Vulcan Team, unterstützt durch JungHoon Lee, beschloss Tag 1 mit einem Hack der 64-Bit-Fassung des Internet Explorer 11, für den es 32.500 Dollar erhält. Damit hat der erste Tag insgesamt 317.500 Dollar an Erfolgsprämien erbracht.

Firefox kam am zweiten Tag nochmals unter die Räder, diesmal durch "ilxu1a", der für seinen Exploit 15.000 Dollar kassiert. JungHoon Lee ("lokihardt") nahm sich gleich drei Ziele vor. Zunächst kam der IE 11 (64 Bit) an die Reihe (65.000 Dollar), dann Chrome. Seinen komplexen Chrome-Angriff kombinierte er erfolgreich mit Windows-Lücken und verschaffte sich so Systemrechte. Er erhält 75.000 Dollar für den Chrome-Hack, 25.000 für die lokale Rechteausweitung in Windows sowie eine Sonderprämie von 10.000 Dollar, die Google dafür zuerkennt, dass der Angriff auch in der Beta-Version von Chrome 42 funktioniert.

Schließlich konnte JungHoon Lee auch noch Apples Safari knacken und aus der Sandbox ausbrechen, um eingeschleusten Code auszuführen. Das bringt ihm weitere 50.000 Dollar. Damit summiert sich sein Prämienkonto auf 225.000 Dollar und die gesamten Geldpreise des zweiten Tages auf 240.000 Dollar. Insgesamt werden die Teilnehmer mit 557.500 Dollar entlohnt.

Alle genutzten Schwachstellen wurden mitsamt Exploit-Code gleich vor Ort an die jeweiligen Software-Hersteller übergeben. Mozilla hat noch am Wochenende zwei Firefox-Updates ausgeliefert. In Firefox 36.0.4 sind bereits alle Pwn2Own-Lücken gestopft. Google hat noch am letzten Donnerstag eine Update auf Chrome 41.0.2272.101 heraus gebracht, jedoch bislang kein Wort über eventuell darin geschlossene Sicherheitslücken verloren.

0 Kommentare zu diesem Artikel
2062894