Onderzoekers hacken Adobe Reader, Edge, Safari en Ubuntu

Onderzoekers van verschillende beveiligingsbedrijven zijn tijdens de jaarlijkse Pwn2Own-wedstrijd erin geslaagd om Adobe Reader, Microsoft Edge, Apple Safari en Ubuntu via onbekende kwetsbaarheden te hacken. Het is de tiende keer dat Pwn2Own wordt georganiseerd.
In totaal is er meer dan 1 miljoen dollar prijzengeld voor onderzoekers die kwetsbaarheden in browsers, kantoorsoftware, virtualisatieprogramma's, Linux en de Apache-webserver demonstreren. Tijdens de eerste dag van het evenement slaagden onderzoekers van 360 Security en Tencent Security erin om Adobe Reader te hacken en het onderliggende Windows 10-systeem over te nemen. Voor hun demonstratie ontvingen de onderzoekers respectievelijk 50.000 en 25.000 dollar, zo meldt Trend Micro, dat de wedstrijd organiseert.
Ook Microsoft Edge moest eraan geloven. Onderzoekers van Tencent Security vonden een kwetsbaarheid in de browser en een fout in de sandbox. Deze aanval werd met 80.000 dollar beloond. Het Chaitin Security Research Lab gebruikte maar liefst zes onbekende beveiligingslekken in Apple Safari om roottoegang op macOS te krijgen. De aanval leverde 35.000 dollar op. Onderzoekers Samuel Gross en Niklas Baumstark hadden het ook op Safari voorzien, maar hun aanval slaagde gedeeltelijk. Het lukte ze om een speciaal bericht op de touch bar van de Mac achter te laten. Hiervoor ontvingen ze 28.000 dollar.
Dit jaar is er ook een categorie toegevoegd waarbij aanvallers hun rechten op het systeem moeten verhogen. In deze categorie demonstreerde het Chaitin Security Research Lab een aanval op Ubuntu Linux. Ze gebruikten een lek in de kernel om hun rechten te verhogen, waarvoor ze 15.000 dollar ontvingen. Vandaag zullen onderzoekers proberen om macOS, Flash Player, Windows, Firefox en Edge te hacken. Google Chrome wordt dit jaar door alle teams overgeslagen.

BRON

 

[Verwijderd lid pr10]

Dat kun je wel zeggen, ze mag wel uitkijken dat ze zich zelf niet voorbij rent!
Het is nog een bezige bij!

 

[Kate40]

Als het zover is dat mezelf voorbij ren, krijgen jullie een seintje als langs kom! ..Maar.. dank jullie wel voor de lieve woorden.

 

[Danvers]

Vervolg 18 maart
Onderzoekers van twee Chinese beveiligingsbedrijven zijn tijdens de jaarlijkse hackwedstrijd Pwn2Own in Vancouver er twee keer in geslaagd om een virtual machine met Windows 10 te hacken en in één keer ook het onderliggende Windows 10-hostsysteem volledig over te nemen.
Voor de eerste aanval koppelden onderzoekers van het Chinese beveiligingsbedrijf 360 Security verschillende kwetsbaarheden aan elkaar. De aanval begon met een onbekend beveiligingslek in Microsoft Edge. Vervolgens werd een onbekende kwetsbaarheid in de Windowskernel gebruikt en als laatste een onbekend lek in VMWare Workstation, de software die voor het aanmaken van de virtual machine werd gebruikt. Hierdoor wisten de onderzoekers uit de virtual machine te ontsnappen. Hoe lang de onderzoekers met hun onderzoek bezig zijn geweest wilden ze niet vertellen, maar de demonstratie nam 90 seconden in beslag. Voor hun werk ontvingen ze een beloning van 105.000 dollar.
De tweede aanval werd door het Chinese beveiligingsbedrijf Tencent Security uitgevoerd en had als doel om vanuit de virtual machine met het Windows 10-gastsysteem het onderliggende Windows 10-hostsysteem, waarop de virtualmachinesoftware draait, volledig over te nemen. Daarbij maakte het gast-systeem gebruik van een niet-beheerdersaccount. De onderzoekers gebruikten een onbekende kwetsbaarheid in de Windowskernel en tweede onbekende lekken in VMware Workstation om het gastsysteem en uiteindelijk ook het hostsysteem over te nemen. De aanval werd bemoeilijkt doordat VMware Tools niet op het gastsysteem was geïnstalleerd. De hack leverde de onderzoekers 100.000 dollar op. De kwetsbaarheden zijn aan Microsoft en VMWare gerapporteerd zodat er beveiligingsupdates kunnen worden ontwikkeld.

BRON

 

[Kate40]

In dit geval moeten we dus blij zijn met hackers!

 

[Verwijderd lid pr10]

Zolang ze maar aan de goede kant staan!

 

[Kate40]

Ja, dat lijkt me wel! Maar ik begrijp uit het stuk tekst dat de hackers ook de onderzoekers zijn, en intussen een smak geld binnen halen. Op die manier blijf je trouw aan je kant, denk ik. Maar het kan natuurlijk altijd anders worden, maar daar weiger ik nog aan te denken. Positive thinking, daar kom je een eind mee. En nu weet ik intussen nog niet of je hond nog steeds een gezond dier is en hoe oud hij is. Ik vroeg dat op je profielpagina, maar misschien wil je het geheim houden? Dan is het ook goed, hoor.

 

[Verwijderd lid pr10]

Ik heb gekeken hoor, en dat heb ik niet gelezen, dat je daarom vroeg. Ik zal zorgen dat je dat te weten komt!

 

[Kate40]

Ik heb gekeken hoor, en dat heb ik niet gelezen, dat je daarom vroeg. Ik zal zorgen dat je dat te weten komt!

In het bericht van afgelopen maandag over de blogs die maar niet komen.