Neue Zero-Day-Schwachstellen in Windows, Flash und allen namhaften Browsern aufgedeckt

Hacker haben auf dem Pwn2Own-Wettbewerb insgesamt 21 Sicherheitslücken vorgeführt, die in Microsoft Windows, Adobe Flash und Reader sowie den Browsern Mozilla Firefox, Apple Safari, Internet Explorer und Google Chrome stecken. Sie wurden mit insgesamt 557.000 Dollar prämiert.

Im Rahmen des Hackerwettbewerbs Pwn2Own, den die Zero Day Initiative (ZDI), eine Tochtergesellschaft von HP, veranstaltet, wurden insgesamt 21 Zero-Day-Schwachstellen vorgeführt, die in Software von Microsoft, Adobe, Mozilla, Apple und Google stecken. Die mit 557.000 Dollar prämierten Sicherheitslücken betreffen Windows, Flash, den Adobe Reader sowie die Browser IE, Firefox, Safari und Chrome.

(Bild: Shutterstock).

Hacker haben auf dem Pwn2Own-Wettbewerb insgesamt 21 Sicherheitslücken vorgeführt, die in Microsoft Windows, Adobe Flash und Reader sowie den Browsern Mozilla Firefox, Apple Safari, Internet Explorer und Google Chrome stecken. Sie wurden mit insgesamt 557.000 Dollar prämiert (Bild: Shutterstock).

Die Hackergruppe Team509 hatte am ersten Tag des insgesamt zwölftägigen Events Schwachstellen im Flash-Player aufgezeigt. Sie führten vor, wie es durch diese möglich ist, die komplette Kontrolle über einen PC zu erlangen – vorbei an allen Sicherheitsmechanismen der Adobe-Software sowie des Microsoft-Betriebssystems. Dazu verwendeten die Hacker besondere TrueType-Schriften (TTF), die im Flash Player zu einem Heap Overflow führten. Die ZDI honorierte sie mit 85.000 Dollar.

Der Sicherheitsexperte Nicolas Joly demonstrierte eine weitere Sicherheitslücke im Flash Player, für die er 30.000 Dollar erhielt. Um ebenfalls Schadcode außerhalb der Sandbox der Adobe-Anwendung auszuführen, nutze er bei seinem Angriff eine Kombination aus einem Use-after-Free-Bug und einer Directory-Traversal-Anfälligkeit. Danach zeigte er einen Pufferüberlauf in Adobe Reader, der es ihm ermöglichte, Informationen auszulesen und Code auszuführen. Zusammen mit einem weiteren Integer-Überlauf in Adobe Reader brachten ihm die Bugs in der PDF-Anwendung ein Preisgeld von insgesamt 60.000 Dollar ein.

Auch das Keen Team widmete sich am ersten Tag dem Adobe Reader und nutzte einen anderen TTF-Bug, um vollständigen Systemzugriff zu erhalten, was ZDI mit 55.000 Dollar belohnte. Innerhalb von nur etwa einer halben Sekunde gelang es Mariusz Mlynski mittels einer Cross-Origin-Schwachstelle in Firefox die Kontrolle über ein vollständig gepatchtes Windows zu übernehmen. Auch hierfür gab es eine Prämie von 55.000 Dollar. Den ersten Tag beendete schließlich das Team 360Vulcan mit einem Exploit für Internet Explorer 64-Bit, wofür ZDI 32.500 Dollar ausschüttete.

Zu Beginn des zweiten Tags gingen 15.000 Dollar an einen Hacker namens ilxu1a. Er demonstrierte einen Out-of-bounds-read/write-Bug in Firefox.

Ihm folgte JungHoon Lee, der sich selbst “lokihardt” nennt und gleich drei Schwachstellen vorführte. Sein erster Angriff richtete sich gegen IE 64-Bit. Danach nutzte er einen Pufferüberlauf in Chrome zusammen mit zwei Fehlern im Windows-Kernel, was ihm alleine 110.000 Dollar einbrachte – 10.000 Dollar davon kamen von Google. In Apples Browser Safari steckt ihm zufolge zudem ein Use-after-free-Bug, der es ebenfalls erlaubt, Code außerhalb der Sandbox auszuführen. Für alle Fehler zusammen kassierte er ein Rekordpreisgeld von 225.000 Dollar.

Schließlich versuchte auch ilxu1a einen Fehler in Google Chrome auszunutzen, was er allerdings nicht in der zur Verfügung stehenden Zeit schaffte.

Mozilla hat am Freitag beziehungsweise Samstag zwei Updates für seinen Browser veröffentlicht. Sie enthalten Fixes für zwei der drei während Pwn2Own gezeigten Fehler. Das am Donnerstag bereitgestellte Update für Chrome 41, zu dem Google keine weiteren Angaben macht, sollte jedoch keine Pwn2Own-Lücke schließen, weil diese erst tags darauf präsentiert wurde.

[Mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit 15 Fragen auf ITespresso.de

Autor: Christian Schartel
Christian Schartel Christian Schartel Christian Schartel

Neueste Kommentare 

Noch keine Kommentare zu Neue Zero-Day-Schwachstellen in Windows, Flash und allen namhaften Browsern aufgedeckt

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *