Am ersten Tag des von Tipping Point veranstalteten Wettbewerbs Pwn2Own 2010 haben Hacker neue Schwachstellen in Firefox 3.6 und Internet Explorer 8 unter Windows 7 sowie in Safari unter Mac OS X 10.6 Snow Leopard aufgedeckt. Einem Teilnehmer ist es zudem gelungen, die Kontrolle über ein iPhone zu übernehmen.
Charlie Miller, leitender Sicherheitsanalyst bei Independent Security Evaluators, führte einen Exploit für eine Safari-Lücke auf einem MacBook Pro vor. Er hatte dafür keinen direkten Zugriff auf die von ihm gehackte Maschine. Miller erhält für das Aufdecken der Schwachstelle 10.000 Dollar. Schon in den beiden Vorjahren hatte er insgesamt 15.000 Dollar Preisgeld abgeräumt.
Weitere 10.000 Dollar gingen an Peter Vreugdenhil, einen unabhängigen Sicherheitsforscher aus den Niederlanden. Ihm war es gelungen, die Sicherheitsfunktionen des Internet Explorer 8 zu umgehen.
Ein Preisgeld in gleicher Höhe erhielt der aus Deutschland stammende Forschungsleiter des britischen Sicherheitsunternehmens MWR InfoSecurity. Nils, der seinen Nachnamen nicht nennen wollte, zeigte ein bisher unbekanntes Sicherheitsleck in Firefox. Im vergangenen Jahr hatte der damalige Student der Universität Oldenburg Löcher in Firefox, IE 8 und Safari aufgedeckt und dafür 15.000 Dollar kassiert.
Das iPhone wurde von Ralf Philipp Weinmann von der Universität Luxemburg und Vincenzo Iozzo vom Bochumer Sicherheitsanbieter Zynamics gehackt. Sie teilen sich 15.000 Dollar Preisgeld. Iozzo wurde aufgrund einer Verspätung zunächst von seinem Kollegen Thomas Dullien vertreten, der in Hackerkreisen auch als „Halvar Flake“ bekannt ist.
Über die einzelnen von den Hackern ausgenutzten Lücken ist nur wenig bekannt. Charlie Miller erklärte, ein Mac werde schon beim Besuch einer manipulierten Website mit Safari kompromittiert. Den Exploit, der zuverlässig funktioniere, habe er in weniger als einer Woche geschrieben.
Der Angriff auf den Internet Explorer besteht laut Vreugdenhil aus vier Stufen und nutzt zwei Schwachstellen. Dabei würden Datenausführungsverhinderung (DEP) sowie ASLR (Address Space Layout Randomization) umgangen.
Nils hat nach eigenen Angaben eine Speicheranfälligkeit in Firefox sowie einen Fehler bei der Integration von DEP und ASLR ausgenutzt. Der von Iozzo und Weinman geschriebene Exploit ermöglicht es ihnen zufolge, Inhalte aus der SMS-Datenbank des iPhone auszulesen, darunter auch schon gelöschte Nachrichten.
Tipping Point leitet Informationen zu den Exploits an die betroffenen Anbieter weiter, damit sie Patches entwickeln können. Der Wettbewerb Pwn2Own geht noch bis Freitag. Bisher haben nur Chrome unter Windows sowie Smartphones von Research In Motion (Blackberry Bold 9700), Nokia (E72 mit Symbian OS) und HTC (Nexus One mit Android OS) den Angriffen der Hacker standgehalten.
Die Passwort-Alternative Passkeys überholt Einmalpasswörter bei der Zwei-Faktor-Authentifizierung. Auch Microsoft setzt sich aktiv für die…
Der Anteil steigt seit 2020 um 34 Prozentpunkte. Allein 2023 erfasst Kaspersky rund 10 Millionen…
Salesforce forciert den Ausbau seiner Industry Clouds. Mit ihrem Prozesswissen könnten deutsche IT-Dienstleister davon profitieren.
Bisher unbekannter Bedrohungsakteur versucht über gefälschte IP Scanner Software-Domänen Zugriff auf IT-Umgebungen zu erlangen.
Der Bericht zeigt bereits nutzbare Angriffsanwendungen und bewertet die Risiken, die davon ausgehen.
Deutsche sehen Finanzwesen und IT im Zentrum der KI-Transformation. Justiz und Militär hingegen werden deutlich…