Pwn2Own 2019: Hacker demonstrieren kritische Lücken in Apple Safari, VirtualBox und VMware
Die Teilnehmer legten neue kritische Sicherheitslücken auch in Edge, Windows und Firefox offen. Die Veranstalter schütteten an den ersten beiden Tagen Prämien in Höhe von 510.000 Dollar aus.
Bereits am ersten Tag haben Teilnehmer des diesjährigen Hackerwettbewerb Pwn2Own, der heute im kanadischen Vancouver endet, Preisgelder in Höhe von 240.000 Dollar eingesammelt. Sie demonstrierten unter anderem kritische Schwachstellen im Apple-Browser Safari und den Virtualisierungsanwendungen VirtualBox und VMware. Am gestrigen zweiten Tag kamen zusätzliche 270.000 Dollar und neun bisher unbekannte Lücken hinzu.
Bereits zum Start des Wettbewerbs zeigten die Forscher Amat Cama und Richard Zhu einen Integer-Überlauf in Safari, der es ihnen ermöglichte, Schadcode außerhalb der Sandbox des Browsers auszuführen. Sie wurden mit 55 Dollar belohnt. Direkt danach griffen sie erfolgreich Oracles kostenlose Virtualisierungssoftware VirtualBox an, um auf dem Host den Taschenrechner zu starten. Das brachte ihnen weitere 35.000 Dollar ein.
Ein Mitarbeiter des Sicherheitsanbieters Star Labs kassierte kurz danach denselben Betrag. Auch er präsentierte eine Sicherheitslücke in VirtualBox, um Code auf dem Hypervisor auszuführen. Cama und Zhu sicherten sich mit einem Out-of-Bounds-Schreibfehler in VMware Workstation und einer weiteren Codeausführung auf dem Host-System weitere 70.000 Dollar.
Drei Forscher, die sich als Phoenhex und Qwerty Team bezeichnen, bildeten den Abschluss. Sie demonstrierten eine Exploit-Kette, um die vollständige Kontrolle über Safari und macOS zu erlangen. Da Apple einen Bug in der Kette bereits kannte, reduzierte sich ihr Preisgeld auf 45.000 Dollar.
Cama und Zhu wandten sich am zweiten Tag zuerst dem Mozilla-Browser Firefox zu. Mit einem JIT-Bug und einem Speicherfehler im Windows-Kernel kompromittierten sie das System vollständig – ein Besuch einer speziell gestalteten Website mit Firefox führte ohne weitere Interaktion mit einem Nutzer zu einer Remotecodeausführung mit System-Rechten. Die Prämie für diese Schwachstellen belief sich auf 50.000 Dollar.
Danach öffneten sie eine weitere präparierte Website im Microsoft-Browser Edge, und zwar innerhalb einer virtuellen Maschine in VMware Workstation. Am Ende dieser Präsentation standen eine Codeausführung auf dem Windows-Host und ein Preisgeld von 130.000 Dollar. Damit schraubten sie ihren Ertrag der ersten beiden Tage auf insgesamt 340.000 Dollar.
Im weiteren Verlauf des Wettbewerbs knackte der deutsche Sicherheitsforscher Niklas Baumstark (alias Phoenhex) ebenfalls die Sandbox des Mozilla-Browser Firefox, und zwar für 40.000 Dollar. 50.000 Dollar gingen an Arthur Gerkis von Exodus Intelligence. Er führte Schadcode außerhalb der Sandbox von Edge aus.
Am heutigen letzten Tag beschäftigen sich die Forscher mit dem Bereich Automotive. Zwei Teams, darunter auch Cama und Zhu, wollen jeweils ein Tesla Model 3 hacken.