Ein Preisgeld von insgesamt 557.500 Dollar und 21 Zero-Day-Lücken. Das ist die Bilanz des zweitägigen Hackerwettbewerb Pwn2Own – veranstaltet von der HP-Tochter Zero Day Initiative (ZDI). Sicherheitsforscher haben die Schwachstellen in Microsoft Windows und Internet Explorer 11, Mozilla Firefox, Apple Safari, Google Chrome sowie den Adobe-Anwendungen Reader und Flash Player demonstriert.
Die Hackergruppe Team509 und Keen Team zeigten am ersten Tag des Wettbewerbs, wie sich mit speziellen TrueType-Schriften (TTF) ein Heap Overflow in Flash Player auslösen lässt. Auf diese Weise kann die Kontrolle über einen Windows-Rechner übernommen werden. Sie hebelten dabei sämtliche Sicherheitsvorkehrungen der Adobe-Software und des Microsoft-Betriebssystems aus. Dafür erhielten sie 85.000 Dollar.
Für die Entdeckung einer weiteren Schwachstelle in Flash Player bekam der Sicherheitsforscher Nicolas Joly 30.000 Dollar. Um Schadcode außerhalb der Sandbox der Anwendung auszuführen, nutzte er für seinen Angriff eine Kombination eines Use-after-Free-Bug mit einer Directory-Traversal-Anfälligkeit. Danach demonstrierte er einen Pufferüberlauf in Adobe Reader, wodurch er Informationen auslesen und Code ausführen konnte. Zusammen mit einem weiteren Integer-Überlauf in Adobe Reader kassierte er ein Preisgeld von insgesamt 60.000 Dollar.
Der Hacker namens ilxu1a erhielt zu Beginn des zweiten Tags ein Preisgeld von 15.000 Dollar für seine Demonstration eines Out-of-bounds-read/write-Bug in Firefox.
Gleich drei Zero-Day-Lücken führte JungHoon Lee vor, der sich selbst “lokihardt” nennt. Zunächst widmete er sich dem Angriff auf Internet Explorer 64-Bit. Danach nutzte er einen Pufferüberlauf in Chrome zusammen mit zwei Fehlern im Windows-Kernel. Allein dafür erhielt er 110.000 Dollar – 10.000 davon stammten von Google. Darüber hinaus präsentierte er einen Use-after-free-Bug in Apples Browser Safari. Dieser erlaubt das Ausführen von Code außerhalb der Sandbox. Für alle Fehler zusammen kassierte er ein Rekordpreisgeld von 225.000 Dollar.
Der Flash-Player ist am Ende. Zum Glück, denn er ist ein Einfallstor für Trojaner und Hacker, und mit HTML5 gibt es einen passenden Ersatz. Doch ein Leben ganz ohne Adobe? Ohne Reader? Ohne Photoshop? Es ist möglich – mit Programmen, die dazu noch kostenlos sind.
Mozilla hat am Freitag beziehungsweise Samstag zwei Updates für seinen Browser veröffentlicht. Sie enthalten Fixes für zwei der drei während Pwn2Own gezeigten Fehler. Das am Donnerstag bereitgestellte Update für Chrome 41, zu dem Google keine weiteren Angaben macht, sollte jedoch keine Pwn2Own-Lücke schließen, weil diese erst tags darauf präsentiert wurde.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Bad Bots richten nicht nur wirtschaftlichen Schaden an. Laut dem Bad Bot Report von Imperva…
Studie von OVHcloud verdeutlicht Stellenwert von Datenresidenz und Datensouveränität bei KI-Anwendungen.
Mit KI können Unternehmen der Paketbranche Prozesse optimieren, Kosten einsparen und sich zukunftssicher aufstellen.
Land Niedersachsen schließt datenschutzrechtliche Vereinbarung mit Microsoft zur Nutzung von Teams ab.
Ein Großteil der Inventurdifferenzen im deutschen Einzelhandel wird durch Ladendiebstähle verursacht.
DDoS-Angriffe haben seit dem Beginn des Krieges zwischen Russland und der Ukraine an Häufigkeit und…