Badacze bezpieczeństwa włamali się do programów Microsoft Edge i Mozilla Firefox i zdobyli nagrodę pieniężną w wysokości 270 000 USD na imprezie hakerskiej Pwn2Own.

Przeglądarka Firefox 66 została ogłoszona 19 marca, więc firma pozwoliła przyjaznym hakerom zaatakować ją w celu wykrycia ewentualnych luk w zabezpieczeniach.

Naukowcy zidentyfikowali dwa problemy w przeglądarce internetowej. Następnego dnia firma zdecydowała się wydać łatkę, aby naprawić oba z nich w aktualizacji Firefoksa 66.0.1.

Ci, którzy nie są świadomi Pwn2Own, to w zasadzie coroczny konkurs hakerski. To świetna okazja dla badaczy bezpieczeństwa, aby mogli wykazać nowe błędy zero-day.

W zamian za ich wysiłki Zero Day Initiative (ZDI) firmy Trend Micro nagradza ich atrakcyjną kwotą.

Duet @fluoroacetate robi to ponownie. Użyli pomyłki typu w #Edge, warunku wyścigu w jądrze, a następnie napisali poza zakresem w #VMware, aby przejść z przeglądarki w kliencie wirtualnym do wykonania kodu w systemie operacyjnym hosta. Zarabiają 130 000 $ plus 13 punktów Master of Pwn. pic.twitter.com/mD13kozJLv

- Zero Day Initiative (@thezdi) 21 marca 2019 r

Pwn2Own Roundup

Badacze, którzy wykazali nowe luki w zabezpieczeniach Oracle VirtualBox, Apple Safari i VMware, otrzymali 240 000 USD pierwszego dnia Pwn2Own 2019.

Przechodząc do drugiego dnia, ZDI przyznało kwotę 270 000 $ tym badaczom, którzy zidentyfikowali nowe błędy w przeglądarce Microsoft Edge i Mozilla Firefox.

W ten sposób badaczom udało się zhakować Edge'a:

To wszystko, czego potrzeba, aby przejść z przeglądarki w kliencie maszyny wirtualnej do wykonania kodu na bazowym hiperwizorze. Zaczęli od błędu pomyłki w przeglądarce Microsoft Edge, a następnie użyli warunku wyścigu w jądrze systemu Windows, a następnie zapisali się poza granicami stacji roboczej VMware

Co najważniejsze, usterka eskalacji jądra w przeglądarce Firefox 66 została zademonstrowana przez Richarda Zhu, a Amat Cama oficjalnie znany jako Fluoroacetate otrzymał nagrodę za 50 000 $. Niklas Baumstark wykorzystał technikę ucieczki od piaskownicy do wykorzystania przeglądarki Firefox 66.0 i otrzymał nagrodę w wysokości 40 000 USD.

Wszystkie te luki zostały zgłoszone do Microsoft i Mozilli, a firmy pracują nad łatami, które zostaną wydane w następnych aktualizacjach.