[Technik] Alle vier großen Browser bei diesjährigem Pwn2Own gehackt

[img=right]https://www.picflash.org/img/2015/03/21/browsersT1CTWX.jpg[/img]Beim achten Pwn2Own Contest in Vancouver konnten die diesjährigen Teilnehmer Exploits für alle vier der bekanntesten Browser demonstrieren.

Jeder der Bewerber hat bei diesem Wettbewerb 30 Minuten Zeit um auf einem neu installierten Betriebssystem mit den aktuellsten Patches einen Exploit für einen Browser seiner Wahl zu demonstrieren. Um den Schadcode auszuführen muss es genügen die gewünschte URL im Browser zu öffnen.

Während in den vergangenen Jahren Google Chrome nie gehackt werden konnte, demonstrierte der Sicherheitsforscher JungHoon Lee heuer einen funktionierenden Angriff, was ihm ein Preisgeld von 110.000 Dollar einbrachte. Er erhielt ausserdem 50.000 Dollar für einen Angriff auf Safari und 65.000 Dollar für einen 0-Day im Internet Explorer 11. Insgesamt wurden 557.500 Dollar Preisgeld an alle Contestants ausbezahlt.

Das Ranking der Browser nach Anzahl der Exploits ergab sich wie folgt:

4 Bugs im Internet Explorer (Win 8.1)
3 Bugs im Firefox (Win 8.1)
2 Bugs in Safari (OS X Yosemite)
1 Bug in Google Chrome

Opera, der seit 2013 auf Chromium basiert, ist von dem Exploit für Chrome ebenso betroffen.

Quelle:

Your Favorite Browser Just Got Hacked, But Don’t Panic
Hacker knacken alle vier großen Browser

 

[The_Emperor]

Das wichtigste Detail wurde aber (absichtlich?) nicht genannt: Die Programmversionen. Auch wenn naheliegt dass bei einer Veranstaltung mit Belohnungen für erfolgreiche Hacks aktuelle Versionen verwendet wurden.

 

[gelöschter Benutzer]

Nicht schlecht, dass da ein Typ fast die Hälfte des Preisgelds abgeräumt hat.

 

[Cybercat]

Das sind immer die Momente wo ich mir die Zeit der Terminal-Programme und Modems zurück wünsche.

 

[poesie noire]

Kann es sein, dass die dort gefundenen Lücken im FF schon gepacht wurden? Hab gestern ein Update auf 36.04 bekommen.

 

[electric.larry]

@poesie noire: Ja, Mozilla hat noch am selben Tag gepatcht. Die Exploits des Contests werden erst veröffentlicht, wenn alle Browserhersteller Updates ausgeliefert haben. (Steht so im verlinkten Artikel.)