Pwn2Own-valstrik in Chrome laat browser crashen

Een nieuw stukje code in Chrome, dat de grootte van de JIT-pagina's van Flash controleert, leidt tot crashes bij gebruikers, met als melding de code 0xabad1dea. De toevoeging was oorspronkelijk bedoeld voor de Pwn2Own-hackwedstrijd.

Chrome-gebruikers met grote of veel Flash-applicaties, meldden veel voorkomende crashes in de 17.0.963.66-versie van Chrome, vooral bij de Facebook-game The Sims Social. Daarbij kregen de gebruikers steeds de foutmelding: "The instruction at 0xxxxxxx referenced memory at 0xabad1dea. The memory could not be written."

Update versie 17.0.963.78, die Google daarop doorvoerde, lost het probleem niet voor iedereen op. Zo melden veel gebruikers dat zij nog steeds veelvuldig crashes ervaren bij toepassingen die gebruikmaken van Flash.

Omdat de Pwn2Own-hackwedstrijd op de CanSecWest-beveiligingsconferentie niet verplichtte tot het vrijgeven van alle details rond hacks, voegde Google een stukje code toe dat een errorcode produceert zodra een bepaalde grootte in Flash-JIT-pagina's wordt bereikt. Zo konden ontwikkelaars toch weten dat de browser werd gehackt door middel van een Flash-exploit.

Reacties (66)

Voor degenen die het niet zien: 0xabad1dea => abad1dea => a bad 1dea => a bad idea

ik zag em niet

Ieder heeft zo zijn specialiteit, zo kan een perfecte database programmeur niet weten hoe een LED aangesloten moet worden, ik vind alleen een dergelijke taalkunde niets met het begrip van Tweakers te maken.

offtopic:
Niet direct met tweakers nee, maar software programeurs zijn vaak wel bekend met het gebruiken van hex karakters voor simpele boodschappen zoals 0xCAFEF00D of de meer algemene aanduidingen als 0xCDCD en 0xFEFE die ongeinitialiseert of vrijgegeven geheugen aan duiden in runtime debug libraries. Als je tenminste een taal gebruikt waarin de programeur zelf geheugen toewijst en vrijgeeft.

Overigens vind ik de taalgrap wel leuk, maar schrijven naar adres 0xABAD1DEA is wel gevaarlijker dan schrijven naar bijvoorbeeld een 0x00000000 pointer omdat 0xABAD1DEA toevallig ook zomaar binnen het bereik kan zitten van het eigen chrome process. Zeker als een browser veel geheugen inneemt bijvoorbeeld 1GB door veel tabs open te hebben is de kans zelfs al 25% grofweg. In dat geval zit hij dus zijn eigen code of data te overschrijven en zal je geen foutmelding zien, maar gebeuren er onvoorspelbare andere dingen, die mogelijk kwalijkere gevolgen hebben. Dus ik hoop dat er een extra check of fallback op zit op zijn minst.

Hardware-, foto- en scheikundige tweakers maken niet altijd hexacodes mee.

Hexacodes? Dat klinkt als een nieuw soort insecten

Laten we het maar houden op hexadecimaal of een ander samengesteld woord met hex zonder a.

Uiteraard zijn er mensen die het niet dagelijks gebruiken, maar die gaan het nu ook hexacodes noemen omdat het in het artikel ook zo genoemd wordt....

En nee ik had hem ook niet door.
Zoals ik laatst ergens in een voorbeeld de kleurcode #B4D455 tegenkwam.
Zelfde idee, ander grapje.

[Reactie gewijzigd door SWINX op 13 maart 2012 22:33]

Hardware toch zeker wel mag ik hopen.

Sorry Edoras, maar ik had dit zo snel niet gezien. Zullen we proberen iedereen in zijn of haar waarde te laten?

Is dit de tijdelijke oplossing totdat Google de kwetsbaarheid gepatched heeft?
Wel grappig dat de foutmelding 'a bad Idea' heet.

Deze foutmelding ontstaat door de Flash plugin die standaard meegeleverd wordt, en niet door Chrome zelf. Google heeft deze 'grappige' exception er speciaal ingebouwd, omdat ze wisten dat hackers op pwn2own waarschijnlijk achter de Flash plugin aan zouden gaan. Zodra hackers deze foutmelding tegen zouden komen, wist Google dat het niet Chrome was dat het lek bevatte, maar de Flash plugin.

Het is dus ook niet zozeer Google dat deze kwetsbaarheid moet dichten, maar eerder Adobe met z'n toch al vaak bekritiseerde Flash plugin.

Zie ook:
http://www.thechromesourc...ses-vupen-hack-of-chrome/
http://dankaminsky.com/2011/05/13/v-vs-g/

[Reactie gewijzigd door Morrar op 13 maart 2012 17:10]

Bij Chrome is het Google die deze plugin inbouwt. Bij andere browsers is het een losse plugin, die door Adobe wordt geupdate.

Bron?

Kijk bijvoorbeeld bij de onderstaande update onder het stukje "Stable Channel Update".

meuk: Google Chrome 17.0.963.56

Daar kan je het volgende lezen:

This release fixes a number of stability and security issues in Chrome, and also includes a new version of Flash.

Google bouwt Flash dus in Chrome.

De flash die door adobe geleverd wordt bedoel je?

Zoiets als een philipsradio door volkswagen er standaard in gezet wordt?
En waarbij problemen met die radio wel door de garage opgelost moet worden, maar diezelfde radio door volkswagen dan naar philips stuurt voor het echt probleem?
En waarbij volkswagen de volgende keer om een betere versie radio vraagt?

[Reactie gewijzigd door ioor op 13 maart 2012 20:29]

Maar je auto crasht niet door een kapotte radio. 1 van de problemen die Google nu heeft met Chrome is dat bugs in de ingebouwde Flash interpreter door kunnen werken in de rest van het programma: cross-site scripting, etc. Dit hebben andere browsers minder, omdat ze Flash niet inbouwen en als losse externe plugin draaien. Die hebben weer andere problemen (oa dat je Flash updates los moet binnenhengelen en niet automatisch meegaat met de browser).

[Reactie gewijzigd door Dreamvoid op 13 maart 2012 22:32]

Wie zegt dat een moderne kapotte autoradio een auto niet kan laten "crashen"? In de moderne auto's is alles aan elkaar gekoppeld...

Zoals aangetoond in dit filmpje: http://www.ted.com/talks/...evices_can_be_hacked.html

Ik zal wel een zure zijn, maar ik vind er helemaal niks grappigs aan. Jij maakt een applicatie in Flash en je klant krijgt ineens een foutmelding 'a bad idea'.

Ik zal wel een zure zijn, maar ik vind er helemaal niks grappigs aan. Jij maakt een applicatie in Flash en je klant krijgt ineens een foutmelding 'a bad idea'.

het slechte idee was dan ook dat je een applicatie in flash maakte.

(waar je eeuwige discussies over kan voeren of dat wel of niet zo is)

Ik snap nog weinig van het verband tussen deze bug en Pwn2Own. Maar ja.

Google had een boobytrap verstopt om te weten te komen hoe VUPEN chrome ging hacken op de Pwn2Own wedstrijd.

Hier meer info: http://www.security.nl/ar..._voor_Chrome-hackers.html

Maar zo te zien leidt deze boobytrap ook tot een bug bij flash applicaties.

Ik vind het erg veel zeggend dat Google speciaal voor het misbruik van de Flash plugin code toegevoegt heeft, men weet dus ook bij Google maar al te goed dat Flash eerder een probleem dan een oplossing is.

Ik vind het heel erg jammer dat Flash nog steeds zo algemeen gebruikt wordt we kunnen nu zo'n beetje in alle moderne browsers met html5 overweg en hebben dus eigenlijk flash niet meer nodig. Ik zou veel liever zien dat alle grote browsers bij het openen van een website die van flash gebruik maakt een waarschuwing aan de gebruiker laten zien zodat de gebruiker weet dat er gebruik wordt gemaakt van extreem onveilige onbetrouwbare en in veel gevallen schadelijke code.
Flash is zo als Apple al jaren geleden heel duidelijk maakte een gevaarlijke stuk onbetrouwbare en slecht geschreven code die simpel weg niet thuis hoort op welk systeem dan ook en zeker niet op een systeem waar men ook gebruik maakt van bijvoorbeeld internet bankieren of vergelijkbare gevoelige handelingen uitvoert.

Ik zou veel liever zien dat alle grote browsers bij het openen van een website die van flash gebruik maakt een waarschuwing aan de gebruiker laten zien zodat de gebruiker weet dat er gebruik wordt gemaakt van extreem onveilige onbetrouwbare en in veel gevallen schadelijke code.

In veel gevallen? Misschien als je de hele dag pron zit te zoeken ja, maar op normale sites zoals tweakers of nu.nl (die er ook nog vol mee staan) zit echt geen gevaarlijke code, misschien zit dat maar in 1% van alle flash-dingen online, en staan die meestal op sites die van zichzelf al dubieus zijn en de normale gebruiker verleiden met de melding dat ze een iPad hebben gewonnen of een windows look-a-like melding waar domme mensen op gaan klikken. Dus ja komt de rommel het daar niet via flash komt het toch wel bij de gebruikers op de PC

Het mooi is dat ik op me mobiel flash onwijs kan waarderen, met tweakers als het beste voorbeeld, voor mobiele video's bieden ze max 360p aan bijv. nou dan laat ik toch de normale versie met flash en kijk ik de HD (is dat 720p of 1080p eigenlijk?) versie toch gewoon...

@tweakers: 360p voor mobiel, serieus? 480p is de native resolutie van 90% van alle Android smartphones. En 720p (of hoger) is al op komst!

[Reactie gewijzigd door watercoolertje op 13 maart 2012 16:57]

en toch gebeurt het dat je leest dat een advertentie op grote, bekende sites in samenwerking met gesettelde advertentiebedrijven toch malware installeren.
http://tweakers.net/archi...yword=malware+advertentie
Daar zie je wel Myspace en Spotify tussen staan, 1 keer malware verspreiden op 1 van deze netwerken en je hebt 1 van de grootste botnetten ooit.

Lijkt me meer bedoeld voor de bandbreedte :-)

Tja nu moet ik flash EN de video inladen en dan begint de video ook nog is eerst op low quality in te laden...

Maar je hebt een goed punt, wel erg jammer (voor mensen die flash niet kunnen/willen draaien dan)!

Normale sites verkopen advertentieruimte, en het gebeurt daadwerkelijk zo nu en dan dat er in advertenties exploits opduiken.

Hetzelfde kan je zeggen van JavaScript, en toch zet niemand JavaScript uit in zijn browser. Ja, platte HTML(5) is veiliger, maar bijna geen website werkt dan meer, het hele web is anno 2012 op clientside Flash en (vooral) JavaScript code ingesteld.

[Reactie gewijzigd door Dreamvoid op 13 maart 2012 22:49]

"Flash is zo als Apple al jaren geleden heel duidelijk maakte een gevaarlijke stuk onbetrouwbare en slecht geschreven code die simpel weg niet thuis hoort op welk systeem dan ook en zeker niet op een systeem waar men ook gebruik maakt van bijvoorbeeld internet bankieren of vergelijkbare gevoelige handelingen uitvoert."

Helemaal mee eens, Flash en meerdere Adobe-product en zijn bagger. Maar o.a. het ABP (goed voor beheer van vele miljarden) dwingt het gebruik van Flash af voor al haar klanten bij het gebruik van mijnABP......

Ik heb sterk het idee dat de auteur van dit artikel het achtergronds concept hiervan (de memory violation) of niet begrijpt of vreemd verwoord?

0xabad1dea = "a bad idea"?

(edit: ah niet de enige)

[Reactie gewijzigd door Dreamvoid op 13 maart 2012 16:38]

Begrijp ik het nu goed dat de ontwikkelaars van Chrome een bepaalde veronderstelling gemaakt hebben betreffende de gevonden exploit? Hebben ze hiervoor dan een stuk code geschreven zodat ze nalv deze foutmelding nu weten dat de gevonden exploit iets met Flash te maken had?

Zo lees ik het wel ja.

Alleen krijgen nu vele gebruikers van Flash opeens te maken met een crashende browser zonder dat er een exploit betrokken is.

Dus Google heeft er voor gekozen om haar browser instabiel te maken om te kunnen roepen dat een exploit in Flash zit en niet in hun code. Dat noem ik pas "a bad idea".

Zo jammer dat Google niet Flash overboord heeft gezet met de introductie van Chrome. Anders was het best een aardige browser geweest.

En gezien de hoeveelheid gezever die ik sinds mijn overstap naar x64 windows heb met Flash verbaast het mij niets dat er alweer een browser is die een lekke Flash plugin heeft.

Maar ja die rommel wordt zo veel gebruikt op het internet dat je niet meer normaal gebruik kunt maken van het internet zonder Flash.

Van mij mag het ook overboord. Ware het niet dat het voornamelijk in reclame voorkomt ( adblock ) en stream van series die ik dan niet op m'n iPad kan kijken. Moet de pc weer aan. 1st world problems..

Als we allemaal Flash buitenboord gooien komen die reclames gewoon in HTML5 voorbij schuiven, daar schiet je niks mee op.

aha... daarom crashte angrybirds dus toenstraks

huh OFFTOPIC ? hoe ontopic wil je het hebben.
in chrome angrybirds spelen speciaal gemaakt voor Chrome in Flash...
waarom iets modden wanneer je niet eens weet waar het over gaat, dat is pas offtopic..

[Reactie gewijzigd door Djaro op 13 maart 2012 17:09]

Behalve dat Angry Birds voor chrome HTML5 is, en geen flash
nieuws: Rovio brengt webversie Angry Birds uit

Angry Birds bevat wel flash elementen, als fallback voor audio.

http://4.bp.blogspot.com/...gry_birds_needs_flash.jpg

[Reactie gewijzigd door PurpleMadness op 13 maart 2012 17:51]

Dat Flash in combinatie met Chrome is zowieso een bad idea... Chrome is een super browser die perfect werkt en snel is maar op het moment dat er veel flash langs is gekomen gaat het steeds verder mis. Vooral na hybernate laat flash erg veel geheugen bezet. Drama! Wat mij betreft vertrekt flash vandaag nog uit Chrome.

Heeft niets met een combinatie te maken hoor..
Maar op dit moment is er simpel weg nog geen directe opvolger van Flash. Dus je hebt het simpel weg nog even nodig tot andere "standaarden" naar voren komen zoals HTML5 bijvoorbeeld.

ja en dat komt juist omdat niemand echt met een duidelijk alternatief komt. HTML 5 laat het afweten, Googles eigen standaard laat het afweten. gen van allen is compleet. Waarom is het nou zo moeilijk om gewoon 1 standaard te ontwikkelen die voor iedereen in een handomdraai te gebruiken is? ik vind het echt al jaren onzin.

Er zijn een aantal alternatieven ontwikkeld (Flash, Silverlight, JavaFX en Dart), probleem is alleen dat niemand de standaard van een ander wil accepteren. Flash is erg geliefd bij developers maar niet bij Microsoft/Google/Apple, JavaFX is van Oracle dat geen browser heeft om hun standaard te pushen, Silverlight is van evil Microsoft dus wordt geboycot door Mozilla, Google en Apple, Dart is van Google dus weer niet acceptabel voor de rest, etc. Dus zitten we nu met de compromis oplossing van een uitgebouwd HTML + JavaScript. Het werkt overal wel redelijk hetzelfde, is best snel en de security problemen zijn nog redelijk handelbaar.

Alle geld en kennis van webtechnologie zit bij bij deze spelers, daar moet het in de praktijk vandaan komen. Er is niet ergens een goddelijk wezen die zomaar even een perfecte webstandaard op ons neer laat dalen. Standaarden maken is een langdurig en complex politiek proces.

[Reactie gewijzigd door Dreamvoid op 13 maart 2012 23:45]