Pwn2Own: Forscher führen 21 Zero-Day-Lücken vor

Ein Preisgeld von insgesamt 557.500 Dollar und 21 Zero-Day-Lücken. Das ist die Bilanz des zweitägigen Hackerwettbewerb Pwn2Own – veranstaltet von der HP-Tochter Zero Day Initiative (ZDI). Sicherheitsforscher haben die Schwachstellen in Microsoft Windows und Internet Explorer 11, Mozilla Firefox, Apple Safari, Google Chrome sowie den Adobe-Anwendungen Reader und Flash Player demonstriert.

Die Hackergruppe Team509 und Keen Team zeigten am ersten Tag des Wettbewerbs, wie sich mit speziellen TrueType-Schriften (TTF) ein Heap Overflow in Flash Player auslösen lässt. Auf diese Weise kann die Kontrolle über einen Windows-Rechner übernommen werden. Sie hebelten dabei sämtliche Sicherheitsvorkehrungen der Adobe-Software und des Microsoft-Betriebssystems aus. Dafür erhielten sie 85.000 Dollar.

Für die Entdeckung einer weiteren Schwachstelle in Flash Player bekam der Sicherheitsforscher Nicolas Joly 30.000 Dollar. Um Schadcode außerhalb der Sandbox der Anwendung auszuführen, nutzte er für seinen Angriff eine Kombination eines Use-after-Free-Bug mit einer Directory-Traversal-Anfälligkeit. Danach demonstrierte er einen Pufferüberlauf in Adobe Reader, wodurch er Informationen auslesen und Code ausführen konnte. Zusammen mit einem weiteren Integer-Überlauf in Adobe Reader kassierte er ein Preisgeld von insgesamt 60.000 Dollar.

Mit einem anderen TTF-Bug im Adobe Reader konnte das Keen Team einen vollständigen Systemzugriff erhalten. Das ZDI belohnte die Entdeckung mit 55.000 Dollar. Mariusz Mlynski benötigte nur etwa eine halbe Sekunde, um mithilfe einer Cross-Origin-Schwachstelle in Firefox die Kontrolle über ein vollständig gepatchtes Windows zu übernehmen. Dafür erhielt er ebenfalls eine Prämie von 55.000 Dollar. Den Abschluss des ersten Tages bildete das Team 360Vulcan mit einem Exploit für Internet Explorer 64-Bit, wofür ZDI 32.500 Dollar ausschüttete.

225.000 Dollar für drei Schwachstellen

Der Hacker namens ilxu1a erhielt zu Beginn des zweiten Tags ein Preisgeld von 15.000 Dollar für seine Demonstration eines Out-of-bounds-read/write-Bug in Firefox.

Gleich drei Zero-Day-Lücken führte JungHoon Lee vor, der sich selbst “lokihardt” nennt. Zunächst widmete er sich dem Angriff auf Internet Explorer 64-Bit. Danach nutzte er einen Pufferüberlauf in Chrome zusammen mit zwei Fehlern im Windows-Kernel. Allein dafür erhielt er 110.000 Dollar – 10.000 davon stammten von Google. Darüber hinaus präsentierte er einen Use-after-free-Bug in Apples Browser Safari. Dieser erlaubt das Ausführen von Code außerhalb der Sandbox. Für alle Fehler zusammen kassierte er ein Rekordpreisgeld von 225.000 Dollar.

Mozilla hat am Freitag beziehungsweise Samstag zwei Updates für seinen Browser veröffentlicht. Sie enthalten Fixes für zwei der drei während Pwn2Own gezeigten Fehler. Das am Donnerstag bereitgestellte Update für Chrome 41, zu dem Google keine weiteren Angaben macht, sollte jedoch keine Pwn2Own-Lücke schließen, weil diese erst tags darauf präsentiert wurde.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.