Onderzoekers vinden twee zerodaylekken in Safari bij Pwn2Own

Tijdens de Pwn2Own-competitie in Vancouver hebben beveiligingsonderzoekers twee zerodaykwetsbaarheden in Apples Safari-browser aangetroffen. Bij de een wisten ze uit de sandbox te ontsnappen en bij de ander konden ze een compleet systeem overnemen.

Het team van Fluoroacetate gebruikte een integeroverflow-kwetsbaarheid in combinatie met een heapoverflow om Safari te kraken en uit de beschermde sandboxomgeving te geraken. Omdat ze bruteforcetechnieken gebruikten, duurde het vrij lang de aanval uit te voeren, schrijft organisator Trend Micro. De demonstratie leverde het team 55.000 dollar en vijf punten voor de Pwn2Own-competitie op.

Team phoenhex & qwerty veroorzaakte een JIT-bug en gebruikte twee keer een heap out-of-bounds-read-actie om roottoegang te krijgen en via een time-of-check-time-of-use-bug werd de opstap naar de kernel gemaakt. Daarmee lukte het team het om via de browseraanval een compleet systeem over te nemen. Apple was al wel op de hoogte van een van de gebruikte technieken, maar alsnog kon het team met 45.000 dollar en vier punten verder.

Bij de overige demonstraties van de eerste dag van Pwn2Own werden met succes Oracle VirtualBox en VMWare Workstation aangevallen. In totaal werd 240.000 dollar uitgekeerd. Vrijdag proberen de deelnemers lekken in systemen van auto's te misbruiken. Pwn2Own is onderdeel van Trend Micro's Zero Day Initiative om nog niet gedichte kwetsbaarheden aan het licht te brengen. Het doel is onderzoekers hiervoor te belonen en de fabrikanten in te lichten, in plaats van dat de kwetsbaarheden verhandeld worden voor gebruik door de hoogste bieder.

Reacties (23)

je hebt een leak en daarmee kunnen zero-day exploits/attacks gedaan worden. Een leak is per definitie altijd zeroday, anders zou het al gepatched zijn.

Nope, je kan een vulnerability (leak) hebben die bekend is bij de vendor, maar waar nog geen patch voor is.

dan is het gewoon een leak, maar dat maakt het geen zero-day exploit, maar een known issue.

zero-day exploit is toch gewoon een implementatie van een vulnerability/lek?

Ik weet niet of dat bij dit event zo is, maar ik kan me ook best voorstellen dat er demonstraties worden gemaakt van al bekende leaks en hoe deze te misbruiken zijn.
In zo'n geval is er dus alsnog een nieuw iets, namelijk hoe een leak te misbruiken is, maar is het geen zero-day meer omdat het al bekend is.

zero-day wil zeggen dat het misbruikt wordt voordat er een patch voor is en het gevaarlijke/controversiële met dit soort demonstraties is dan ook dat anderen hierdoor inzichten kunnen krijgen die ze zelf nog niet hadden om er op hun beurt dan op een malafide manier mee aan de slag te gaan

Zero Day slaat op 0 dagen bekent bij het grote publiek. Zodra een bug of leak bekent is bij de vendor en publiek gemeld is, is er geen sprake meer van een 0 day maar een trage vendor. Het maakt niet uit of er een exploit voor is of niet.

[Reactie gewijzigd door brammieman op 24 maart 2019 20:23]

Als een lek per ongeluk geïntroduceerd is in versie 2.0 van de software spreek je dan nog van zero day?

Ja. De zero verwijst naar het aantal dagen dat een onopgeloste kwetsbaarheid bekend is bij de ontwikkelaars. Het getal "nul" hier heeft niets te maken met het versienummer van een programma.

[Reactie gewijzigd door Rob Wu op 22 maart 2019 01:12]

Ja oftewel niet bekend bij de vendor/ontwikkelaar tot op dat moment. (0 Day)

Toch blijft Apple claimen dat hun software de veiligste is geen beveiligingslekken bevat...

Heb je daar een citaat van? Ik geloof er namelijk niets van. Bugs bestonden, bestaan en zullen bestaan. Dat weet zo'n beetje iedereen die iets rondom softwareontwikkeling doet.

https://www.macworld.com/...le-privacy-billboard.html

Ik ben het voor grote deels eens met dit artikel. Apple blijft valse beloftes maken die ze gewoon niet waar kunnen maken.

Apple claimt dat security en privacy een key focus area is en dat ze er alles aan doen om die te proberen garanderen. Apple claimt nooit dat het foutloos is. Dat is puur de interpretatie van pers / critici. Hoge bomen, veel wind.

Precies, maar je moet een goed verhaal nooit verpesten met de waarheid.

"What happens on your iPhone, stays on your iPhone." Hierbij claimen ze dus dat security-issues niet bestaan bij Apple.

Dat claimen ze hiermee helemaal niet, ze geven hiermee aan dat ze niet zo data hongerig zijn als dat Google dat is. Dat is ook niet nodig met die prijzen van ze. (/me doet nog maar een jaartje met zijn 7 plus )

Nee - ze claimen dat Apple niet meekijkt op je toestellen. Dat ze on-device processing doen ipv. alles naar de cloud te sturen, dat ze je locatie en metadata niet misbruiken om er geld uit te kloppen, dat ze niet meelezen in je mails, dat er niet gekeken wordt waar je vertrekt wanneer je navigeert en ook al niet waar je toekomt. Er wordt nergens gezegd dat het foutloos is - dat is jouw interpretatie.

Red Bull geeft je vleugels, helaas kan ik ook nog steeds niet vliegen

Gaat dit om de desktopversie, de mobiele versie of allebei?

Daarvoor heb je Spel- en tikfoutjes - en dus *geen* andere foutjes - deel 45 voor.

[Reactie gewijzigd door jessesteinen op 21 maart 2019 19:28]