Sok áldozatot szedett a hackerverseny

Véget ért az egyik legnevesebb nemzetközi hackerverseny, amelynek résztvevői ismét kitettek magukért. Megközelítőleg félmillió dollárt kasszíroztak.
 

A nemzetközi hackerversenyek között az egyik legismertebbnek a Pwn2Own számít, amelyet hagyományosan a kanadai CanSecWest konferencia keretében szerveznek meg.  A 2007 óta megrendezésre kerülő megmérettetés eddig minden évben tartogatott meglepetéseket. Az idei verseny pedig különösen izgalmasnak ígérkezett, hiszen a szervezők minden eddiginél nagyobb jutalmak felajánlásával ösztökélték a biztonsági réseket feltáró szakembereket arra, hogy minél érdekesebb és egyben veszélyesebb sebezhetőségekről rántsák le a leplet. A 2013-as Pwn2Own megmérettetésen összesen több mint félmillió dollár üthette az etikus hackerek markát. Most már az is kijelenthető, hogy a versenyzők nem is hagytak sok pénzt a kasszában, ami egyben azt is jelenti, hogy sorban mutatták be a rendszerek térdre kényszerítésére alkalmas technikáikat.

"Mindazok, akik eljöttek, és részt vettek a versenyen, olyan nulladik napi sérülékenységekkel szolgáltak, amelyeket a megmérettetés előtt nem ismertünk. Élvonalbeli kutatásokért - különösen, amik sandbox-ok, különféle bővítmények és böngészők kiütésére alkalmas hibákat tártak fel - ajánlottuk fel a pénzt" - nyilatkozta Brian Gorenc, a HP Security Research Labs sebezhetőségek kutatásáért felelős vezetője.

Nem sok minden maradt talpon

Az idei Pwn2Own során a résztvevők semmit nem bíztak a véletlenre, és mindent hackeltek, amit a verseny keretei között csak lehetett. Az eredményeikről mindennél többet elárul a verseny weboldalán közzétett alábbi eredménylista:

Mint látható a versenyzők körében a legnépszerűbb prédának a Java számított, amelynek esetében négy eddig ismeretlen sérülékenységet sikerült kihasználniuk. Ezekért a biztonsági hibákért egyenként 20 ezer dollár jutalom járt.

Az első Java exploitok demonstrálása után nem kellett sokat várni azzal, hogy a Windows 8 alatt futtatott Internet Explorer 10 is az áldozatok listájára kerüljön, hiszen a VUPEN szakemberei sikeresen áthatoltak a böngésző és az operációs rendszer legújabb védelmi megoldásain. Ezt követően a Firefox valamint a Chrome böngésző sem bírta sokáig. Az előbbi esetében a VUPEN delegáltjai mutattak be egy olyan módszert, amivel a Windows DEP és ASLR védelmi vonalait is megkerülték. Ami pedig a Chrome-ot illeti, két versenyző az alkalmazás sandbox mechanizmusát ostromolta sikeresen. Ez esetben azonban az igazsághoz az is hozzátartozik, hogy a komplett támadáshoz egy Windows kernelben lévő biztonsági résre is szükség volt.
A verseny végéhez közeledve a VUPEN csapata megmutatta, hogy még nem lőtte el az összes puskaport, és biztos, ami biztos, még az Adobe Flash egy általuk feltárt biztonsági résén keresztül is levezényeltek egy támadást. Eközben pedig egy másik résztvevő az Adobe Reader egyik védelmi mechanizmusát (sandbox-át) vette "semmibe", és futtatott le azon keresztül tetszőleges kódot.
Az Internet Explorer 10 valamint a Google Chrome térde kényszerítői 100 ezer dollárt vehettek át a rendezőktől, míg az Adobe Flash Player valamint az Adobe Reader sebezhetőségek felfedezői 70 ezer dollárral a zsebükben térhettek haza. Ezért cserébe át kellett adniuk minden információt a szervezőknek, akik az értesüléseiket megosztották a gyártókkal annak érdekében, hogy a biztonsági rések befoltozására minél hamarabb sor kerüljön. E tekintetben a Google lépett a leggyorsabban, és frissítette a Chrome böngészőt.

Ami állta a sarat

A Google a Pwn2Own apropóján megrendezte a saját Pwnium 3 megmérettetését, amelyen 150 ezer dollárt ajánlott fel azok számára, akik sikeresen meghackelik a Chrome OS-t. A Google jelezte, hogy egy versenyző sem tudott az elvárásoknak megfelelően teljesíteni, ezért a fődíjat nem osztotta ki. Ugyanakkor jelezte, hogy megvizsgálja a résztvevők által elért részsikereket, és később dönt arról, hogy ezeket az eredményeket jutalmazza-e.

Emellett azt is meg kell említeni, hogy a Mac OS X alatt futtatott Apple Safari böngésző hackelésére ezúttal nem vállalkozott senki, így e böngésző érintetlen maradt.