Safari-bug ontdekt tijdens hack-wedstrijd

Twee computerbeveiligingsspecialisten hebben tijdens de CanSecWest-conferentie een MacBook Pro en mogelijk 10.000 dollar gewonnen door een MacBook Pro te hacken. Daarbij werd een zero-day exploit voor Safari gebruikt.

Shane Macaulay was de persoon die tijdens de conferentie de daadwerkelijke hack uitvoerde, maar Dino Dai Zovi is de ontdekker van de fout die de hack mogelijk maakte De organisatie van de CanSecWest-conferentie had twee Apple MacBook Pro's opgesteld die via twee aparte wifi-accesspoints mochten worden gehackt. Degene die als eerste toegang tot een van de MacBooks wist te krijgen, mocht de laptop mee naar huis nemen. Bovendien had het bedrijf TippingPoint 10.000 dollar als extra prijzengeld beschikbaar gesteld als de systemen werden gehackt door gebruik te maken van een onbekende veiligheidsfout. Macaulay werkte samen met de computerbeveiligingsonderzoeker Dino Dai Zovi, die reeds eerder veiligheidsfouten in Apple-software ontdekte. Dai Zovi had de veiligheidsfout in de webbrowser Safari de nacht ervoor ontdekt en thuis diezelfde nacht een exploit geschreven voor de fout. Aangezien Dai Zovi niet op de CanSecWest-conferentie aanwezig was en de wedstrijd alleen bedoeld was voor bezoekers, heeft Macaulay de exploit gebruikt om de wedstrijd te winnen.

Dai Zovi heeft laten weten dat de MacBook Pro voor Macaulay is, maar dat hijzelf de 10.000 dollar wil opstrijken die door TippingPoint is uitgeloofd. Het bedrijf heeft laten weten dat hij deze prijs zal krijgen zodra ze de vulnerability hebben onderzocht en het daadwerkelijk een zero-day exploit blijkt te zijn. De hack zou gebruikmaken van een probleem in de afhandeling van JavaScript door de browser. Wanneer een aangepaste website wordt geopend kan de maker van die website willekeurige programmacode uitvoeren op het systeem. De exploit van Dai Zovi gebruikte deze mogelijkheid om een backdoor te creeëren, waardoor de hacker toegang tot het systeem kreeg. De CanSecWest 'PWN to OWN'-wedstrijd stond in eerste instantie alleen hacks toe die geen actie op de MacBook Pro vereiste. Maar naarmate de conferentie tegen het einde liep en er nog steeds geen winnaar was, besloot de organisatie de regels te versoepelen en was het ook toegestaan om het systeem te hacken door naar een bepaalde website te surfen. Tevens werd toen de extra prijs van 10.000 dollar toegevoegd. De tweede MacBook Pro is niet gehackt tijdens de conferentie en daarom als prijs gegeven aan de beste spreker tijdens het evenement.

Apple wil niet reageren op de ontdekte veiligheidsfout. Eerder deze week bracht het bedrijf nog een patch uit voor Mac OS X die in totaal 25 veiligheidsfouten in het besturingssysteem oploste. Vorige maand werden ook al 45 veiligheidsbugs verholpen, waardoor de indruk ontstaat dat het besturingssysteem de laatste tijd meer problemen vertoont op dit gebied dan vroeger. Mogelijk wordt dit veroorzaakt door een toenemende aandacht van hackers en computerbeveiligingsspecialisten voor het besturingssysteem.

Reacties (35)

[Kek]

let wel dat het heir om user priveleges gaat, de beste man kreeg geen root priv's op het systeem.

[Verwijderd]

Local exploits zijn er legio. Zo niet in Apple's applicaties dan wel in extra geinstalleerde applicaties.

Daarnaast kan je met de rechten van de gebruiker ook genoeg. Daemons installeren en draaien (botnets), privegegevens downloaden of wissen, etc.

Ik snap dus niet waar de illusie vandaan komt dat 'hij er toch geen root privs mee kreeg' het niet zo erg maakt.

[Verwijderd]

Heel terechte opmerking Kek!
Trouwens, de 2de is nog steeds niet ge"pwnd". De tweede mag niet dezelfde exploit gebruiken dan de eerste. Interessante wedstrijd!
Zonder userinteractie op het systeem raakten ze er niet op, met wel.

[Gepetto]

De tweede mag niet dezelfde exploit gebruiken dan de eerste

dan

[springtouwtje]

Als er nu meer fouten worden gevonden dan vroeger, dan is het niet zo dat het OS nu onveiliger wordt. Immers, de fouten zijn gevonden en opgelost, dus het OS wordt veiliger.
Je kunt hooguit zeggen dat je eerdere inschatting van de veiligheid te optimistich is geweest. (just my €0,02)

[RuddyMysterious]

Deze stelling gaat op voor een snapshot uit de tijd van een bepaald OS ja, maar niet voor de verschillende OS's die de revenue gepasseerd zijn in al die tijd. Je kan al raden waarom: hoe groter, des te complexer en moeilijker om het foutloos trachten te houden.

[MacWolf]

Eerder deze week bracht het bedrijf nog een patch uit voor Mac OS X die in totaal 25 veiligheidsfouten in het besturingssysteem oplostte. Vorige maand werden ook al 45 veiligheidsbugs verholpen, waardoor de indruk ontstaat dat het besturingssysteem de laatste tijd meer problemen vertoont op dit gebied dan vroeger.

Mening van Martin Sturm? Deze opmerking komt namelijk niet terug in het originele artikel. Ongeveer elke maand brengt Apple een 'minor' update uit die een aantal fouten oplost in het systeem. Voor een gedeelte gaat het om fouten in het besturingssysteem, maar vaak voor een nog groter gedeelte heeft betrekking op fouten in meegeleverde software (bijv. Apache webserver, Firewall, etc...). Een gedeelte van deze bugfixes is dus niet eens door Apple geschreven, maar alleen toegevoegd aan het systeem. Dit is geen verschil met de bugfixes vanaf versie 10.0 van het besturingssysteem (uit ongeveer het jaar 2000). Een beetje 'opruiende' berichtgeving dus, naar mijn mening.

[humbug]

Het is natuurlijk opvallend dat nu er de laatste tijd (eindelijk?) externe veiligheidsexperts naar de apple software kijken er best veel veiligheidslekken gevonden worden. Het aantal en type bugs wat wordt gevonden lijkt zich dus de laatste tijd negatief te ontwikkelen. En verrek, het kan dus best dat dit de indruk wekt dat het besturingssysteem de laatste tijd meer problemen vertoont op dit gebied dan vroeger. Dat de problemen vaak ook in oudere versies voorkomen doet daar niets aan af. OS/X lijkt door deze vele bugfixes kwetsbaarder dan vroeger, ondanks dat het in mijn ogen juist door die fixes in werkelijkheid veiliger is dan vroeger.

Maar als je het topic leest over de laatste update waar hele volkstammen tweakers nog steeds verkondigen dat 'hun' mac heel erg veilig is, lijkt het mij alleen maar goed om tegen dat beeld van de veilige mac aan te schoppen. Elk OS in inherent onveilig en de ontwikkelaar zal dus geregeld bugs moeten oplossen. En gebruikers moeten die installeren. Ook OS/X gebruikers.

[Verwijderd]

Als je goed kijkt vind je altijd fouten. En hoe meer en beter je kijkt, hoe meer je er vindt.

Vandaar de bugfixes en veiligheids updates die je eens in de zoveel tijd door je strotje gedrukt krijgt door Apple.
Probeer maar eens je Software update te negeren als ie in het dock staat te stuiteren. gewoon kijken wat het is, wachtwoord invoeren, je eerste herstart in een maand doen en klaar.

Laten we eerlijk zijn tegen elkaar: het gaat niet om de fouten maar om de exploitatie daarvan en de teller staat na bijna 7 jaar Mac OS X nog steeds op nul.

En dus kunnen we het er, in alle eerlijkheid, op houden dat het Mac-platform nog steeds heel erg veilig is.

[Verwijderd]

het is OS X.

spreek uit: "OS tien" of "OS ten"

OS/X lijkt me een soortemet van opvolger van IBM voor OS/2 die er nooit gekomen is.

[Verwijderd]

De vorige update behandelde een 20-tal bugs en bij de volgende update wordt deze ook wel opgelost, toch een vermeldenswaardige hack want hij kon de volledige machine overnemen door Safari naar een bepaalde webpagina te laten gaan.

Nu graag een update van Apple voor die in het wild gesignaleerd wordt.

[cc bcc]

toch een vermeldenswaardige hack want hij kon de volledige machine overnemen door Safari naar een bepaalde webpagina te laten gaan.

Hij heeft user level rechten gekregen, door de machine die hij wilde hacken naar een geboobytrapte website te sturen. En dat kon dus niet op afstand, dat moest iemand doen op de mac zelf.
Feit blijft dat dit zo snel mogelijk gefixt moet worden.

[Zware Unit]

Blijkbaar blijft het lastig om een veilige browser te bouwen. Niet alleen Apple, maar ook Microsoft, Mozilla en Opera lukt dit niet. Natuurlijk zullen er altijd bugs in software zitten, maar er moet een manier zijn dat niet het hele systeem gehackt kan worden .

Virtualisatie is naar mijn mening een goede oplossing, maar ook dit kent problemen.

[The - DDD]

Vergeet KHTML niet, want dat is Safari onderwater namelijk.

[Little Penguin]

Apple Webkit, de render engine van Safari, is inderdaad gebaseerd op KHTML/KJS e.d., maar ondertussen is er door Apple zo veel aan verbeterd dat je de 2 niet meer gelijk kunt stellen.

Als ik het me goed herinner wordt er, binnen het KDE project, zelfs gedacht om de KHTML core te gaan vervangen door de Apple Webkit core...

[Lennie]

Men werkt samen aan webkit om alle omgeving met de zelfde versie te kunnen laten werken, inclusief de mobieljes van Nokia, etc.

[MMaster23]

Dat is ook deels wat IE7 in protected mode is. Virtueel registry/desktop/program files etc

echter ook al zou je een virtuele browser draaien, heeft het nog geen zin. De browser moet op een manier met het OS praten. Mocht die manier/methode niet goed (beveiligd) zijn ... ben je alsnog de lul.

[Hensz]

Ik zie niet wat virtualisatie bijdraagt of tegen gaat. Het gaat om gebruikersrechten, daar doet virtualisatie volgens mij helemaal nada niets tegen.

[lethalnl]

leuke wedstrijd
als die bug op het web was gekomen denk ik dat ze wel meer schade zouden hebben dan 10000 euri en een laptop

slim idee dus

[Verwijderd]

Veel commentaar natuurlijk van mensen die denken het terecht te vinden dat er eindelijk iets negatief wordt geschreven over OSX etc etc

Ik ben benieuwd naar het volgend besturingssysteem dat dit jaar uitkomt. Volgens eerste gegevens zouden programma's binnen een eigen sandbox draaien zodat indien er een bug in zou zitten welks aanleiding zou kunnen geven tot een hack, men niet verder raakt dan de applicatie waarin deze bug zich voordoet.

OSX wordt dus nog veiliger ;-))

[fevenhuis]

Een populairdere titel zou zijn:

Wedstrijd-Bug ontdekt tijdens hack-safari

En voor dure krantenberichten en tijdschriften:

Winnaars schieten gat in mac met bug op hack-safarie voor $10.000

[Gepetto]

"OS/X toch niet zo veilig als gedacht."

[fevenhuis]

Die titel klinkt veelst te veel als een MS titel.

[m0nkey]

Wel tof dat Apple er zoveel patched, deed Microsoft dat ook maar voor Windows. Vreemd trouwens dat iemand zomaar iemand anders z'n hack mag gebruiken voor een wedstrijd, komt over als diefstal, want in principe is Shane er gewoon aan de haal gegaan met Dino z'n ontdekking.

[khamikaze99]

er is niets gestolen, het was namelijk een samenwerking tussen Dino en Shane omdat Dino niet aanwezig kon zijn. de afspraak is geworden; Shane de laptop en Dino de 10K. mooie deal vind ik zelf, anders had Dino helemaal niets gehad omdat je op de conferentie aanwezig moest zijn om mee te kunnen dingen naar de prijs.

[roy-t]

deed Microsoft dat ook maar voor Windows

*ongeloof modus

kijk je ooit wel eens naar je windows update icoontje? Aloha er zijn wel wat meer dan 25+40 bugs gefixed in Windows hoor

[Rob]

Dat doet Microsoft ook wel voor Windows. Waarom denk jij van niet?

[Verwijderd]

Als apple patched is iedereen blij en als Microsoft patched zegt iedereen dat ze een veiliger OS moeten leren maken

[The - DDD]

@GF

Zit inderdaad iets in wat je zegt. Opvallend vind ik altijd dat mensen altijd "hun" besturingssysteem lopen te verdedigen. Best triest als je het mij vraagt. Gegeven is dat Windows XP dat er bij XP in verhouding veel meer gepatched en gedicht wordt dan bij Apple. Maar daar staat tegenover de omvang van de userbase.

Nu ben ik wel van mening dat OSX veel veiliger is dan Windows. ('t Is tenslotte unix met een goede set default beveiligings instellingen.) Maar vergelijken en een definitief a of b is beter zal niemand lukken. Want inweze is het altijd Apples met peren vergelijken. Fanboyisme is wat mij betreft altijd irritant. Zeker van die Apple gekken die in de waan leven dat omdat ze Apple gebruiken nooit gehacked zullen worden. Maar Windows freaks die bij alles wat Apple is een spastische respons genereren zijn net zo irritant.

[Floor]

Och heeft niet ooit iemand gezegd: gezegend zijn de onwetende...

Maar niks zo gevaarlijk als mensen die zo maar wat uitkramen omdat ze denken ergens verstand van te hebben. En wij mensen denken overal verstand van te moeten hebben

WOII is wat dat betreft een triest voorbeeld hoe de meute zich blind kan staren en niet meer openstaat voor andere opinies. Wat dat betreft mag de evolutie van mij nog wel wat gaan sleutelen aan de mens.

[gamepower2005]

Als je kijkt naar het aantal man-uren dat erin gestoken is om hacks en bugs te vinden in Windows, dan is dit velen malen groter dat voor OSX.

Denk je dat als je 1000 hackers een MacBook Pro liet hacken, en 20 een Windows PC, dat er dan meer nieuwe hacks werden gevonden voor het Windows systeem dan voor de Mac?

Het is natuurlijk altijd dezelfde discussie, maar in mijn mening wordt Windows wel iets te zwaar beoordeeld in vergelijking met andere OS'en. Hoewel dit logisch is omdat het veel meer wordt gebruikt.

[Verwijderd]

daar gaan we toch wel weer....

wanneer gaan mensen eens ophouden met het aantal argument te gebruiken? Niet alleen omdat het sowieso niet relevant is dat er (veel) meer windows pcs dan Macs zijn, maar ook omdat het gewoon fout is...

Al vele jaren zijn er miljoenen machines met Linux, OS/2, etc... Er zijn voldoende scholen (als we wel weten, educatieve instellingen hebben meestal niet de beste security) voorzien van Macs, etc... etc... nochtans lopen die machines niet over van de virussen of spuien die geen spam uit elke opening... Het is niet de [kwantiteit] van machines die exploits gemakkelijk maken, maar de [kwaliteit] van de security....

Dus ja, 1000 hackers op een MacBOok pro vs 20 op een Windows PC zullen nog altijd meer nieuwe hacks opleveren voor Windows, tenzij die 20 n00b scriptkiddies zijn.

Een OS is/wordt niet minder secure door de hoeveelheid mensen dat het installeren, net zo min dat er meer exploits in een OS zouden komen omdat er meer hackers achter zoeken....je kan er niet uithalen wat er niet inzit, ongeacht van hoeveel mensen erachter zoeken...

For the record, ik ben been Apple/Mac fanboy, ik heb geen apple aandelen en het enige Apple product dat ik bezit is een iPod. Ik heb PCs en draai windows en Linux. Wat ik van hardware/OS gebruikt weerhoudt me er niet van objectief en rationeel te kijken naar alle OS'en en er objectief over te oordelen...iets wat velen blijkbaar niet gegund is, hetzij door fanboy-osm, hetzij door spoon-feeding