Cercetătorii de securitate au piratat Microsoft Edge și Mozilla Firefox drept și au câștigat un premiu în bani de 270 de dolari la evenimentul de hacking Pwn2Own.

Browserul Firefox 66 a fost anunțat pe 19 martie, astfel încât compania a permis hackerilor prietenoși să-l atace pentru a detecta eventualele vulnerabilități de securitate.

Cercetătorii au identificat două probleme în browserul web. Chiar a doua zi, compania a decis să lanseze un patch pentru a le repara pe amândouă în actualizarea Firefox 66.0.1.

Cei care nu sunt la curent cu Pwn2Own, este practic o competiție anuală de hacking. Oferă o oportunitate excelentă cercetătorilor de securitate, astfel încât să poată demonstra noi erori de zile zero.

În schimbul eforturilor depuse, inițiativa Zero Day Trend Micro (ZDI) le răsplătește cu o sumă frumoasă.

Duo @fluoroacetate o face din nou. Au folosit o confuzie de tip în #Edge, o condiție de cursă în kernel, apoi un out-of-lím scrie în #VMware pentru a merge de la un browser într-un client virtual la executarea codului pe sistemul de operare gazdă. Câștigă 130K USD plus 13 puncte de Master of Pwn. pic.twitter.com/mD13kozJLv

- Inițiativa Zero Day (@thezdi) 21 martie 2019

Pwn2Own Roundup

Cercetătorii care au demonstrat noi vulnerabilități în Oracle VirtualBox, Apple Safari și stația de lucru VMware au primit 240.000 de dolari în prima zi a Pwn2Own 2019.

Trecând spre a doua zi, ZDI a acordat o sumă de 270.000 USD acelor cercetători care au identificat bug-uri noi în browserul Microsoft Edge și Mozilla Firefox.

Așa au reușit cercetătorii să pirateze Edge:

Asta este tot necesar pentru a merge de la un browser într-un client de mașină virtuală la executarea codului pe hipervizorul de bază. Au început cu o eroare de confuzie de tip în browserul Microsoft Edge, apoi au folosit o condiție de rasă în kernel-ul Windows, urmată de o scriere în afara stației de lucru în stația de lucru VMware

Cel mai important, defectul de escaladare a nucleului din Firefox 66 a fost demonstrat de Richard Zhu și Amat Cama, cunoscut oficial sub numele de Fluoroacetate, a primit un premiu pentru 50.000 de dolari. Niklas Baumstark a folosit o tehnică de scăpare a sandbox-ului pentru a exploata Firefox 66.0 și a primit un premiu de 40.000 de dolari.

Toate aceste vulnerabilități au fost raportate la Microsoft și Mozilla, iar companiile care lucrează la patch-uri trebuie să fie lansate în următoarele actualizări.