Microsoft hat drei Sicherheitsforschern von Hewlett-Packard 125.000 Dollar Prämie für eine von ihnen demonstrierte Lücke im Browser Internet Explorer gezahlt. Die Mitarbeiter von HPs Zero Day Initiative Brian Gorenc, Abdul-Aziz Hariri und Simon Zuckerbraun hatten Angriffe auf die Funktionen Isolated Heap und MemoryProtection im aktuellen Microsoft-Browser demonstrieren können.
Sie fanden auch einen Weg, um mit MemoryProtection die Speicher-Randomisierung (ASLR) zu umgehen. MemoryProtection und ASLR sollen eigentlich Angriffe verhindern, die den Speicher zu korrumpieren versuchen (Use After Free, UAF).
Die Prämie setzt sich aus zwei verschiedenen Programmen zusammen: „Microsoft Mitigation Bypass Bounty“ und „BlueHat Bonus for Defense“. Letztlich erhielten sie 100.000 Dollar für die Angriffsdemonstration und 25.000 Dollar zusätzlich für von ihnen vorgeschlagene Verteidigungstechniken.
Als HP-Angestellte werden sie die Prämien nicht behalten, sondern spenden. Das Geld geht an drei Forschungseinrichtungen mit mathematisch-technischer Ausrichtung, nämlich die Texas A&M University, Concordia University und Khan Academy.
HPs Zero Day Initiative beschäftigt sich nach eigenen Angaben schon länger mit Speicherkorruption via Internet Explorer. Zuckerbraun schreibt, mit den im Juni und Juli 2014 zur Härtung des Internet Explorer von Microsoft eingeführten Techniken Isolated Heap und MemoryProtection habe sich der Einsatz im Spiel noch einmal erhöht.
Das HP-Team veröffentlicht von ihm gefundene Sicherheitslücken 120 Tage, nachdem es sie dem Hersteller gemeldet hat. Ihm zufolge wurden die IE-Schwachstellen bisher nicht behoben.
Diese Woche war schon eine schwere, universelle Cross-Site-Scripting-Lücke im Internet Explorer veröffentlicht worden. Sie ist ungepatcht, obwohl Microsoft Mitte Oktober davon erfahren hat. Angreifer könnten unter Windows 7 oder Windows 8 Authentifizierungscookies stehlen oder ihr Opfer heimlich auf eine schädliche Website umleiten.
[mit Material von Charlie Osborne, ZDNet.com]
Forschende des KIT haben ein Modell zur Emotionsanalyse entwickelt, das affektive Zustände ähnlich genau wie…
Sie decken die Identität des Kopfs der Gruppe auf. Britische Behörden fahnden mit einem Foto…
Er treibt das neue iPad Pro mit OLED-Display an. Apple verspricht eine deutliche Leistungssteigerung gegenüber…
Davon entfällt ein Viertel auf staatliche Einrichtungen und 12 Prozent auf Industrieunternehmen.
Forscher umgehen die Verschlüsselung und erhalten Zugriff auf VPN-Datenverkehr im Klartext. Für ihren Angriff benötigen…
Weitere 40 Prozent der Deutschen erledigen ihre Geldgeschäfte überwiegend online und gehen nur noch selten…