Vedci v oblasti bezpečnosti hackovali Microsoft Edge a Mozilla Firefox správne a na hackerskej akcii Pwn2Own získali finančnú odmenu 270 000 dolárov.

Prehliadač Firefox 66 bol ohlásený 19. marca, takže spoločnosť umožnila útokom priateľských hackerov s cieľom odhaliť potenciálne bezpečnostné chyby.

Vedci identifikovali dva problémy vo webovom prehliadači. Hneď nasledujúci deň sa spoločnosť rozhodla vydať záplatu na opravu oboch v aktualizácii Firefox 66.0.1.

Tí, ktorí nevedia o Pwn2Own, je to v podstate každoročná hackerská súťaž. Poskytuje výskumným pracovníkom v oblasti bezpečnosti veľkú príležitosť, aby mohli demonštrovať nové chyby v nultý deň.

Na oplátku za ich úsilie im Trend Micro Zero Day Initiative (ZDI) odmenila peknou sumou.

Duo @ fluoroacetate to robí znova. Použili typovú zámenu v #Edge, rasovú podmienku v jadre, potom out-of-bounds napísali # VMware, aby prešli z prehliadača vo virtuálnom klientovi na vykonanie kódu v hostiteľskom OS. Zarobia 130 000 dolárov plus 13 bodov Master of Pwn. pic.twitter.com/mD13kozJLv

- Iniciatíva nulového dňa (@thezdi), 21. marca 2019

Pwn2Own Roundup

Vedci, ktorí preukázali nové zraniteľné miesta na pracovných staniciach Oracle VirtualBox, Apple Safari a VMware, dostali prvý deň Pwn2Own 2019 240 000 dolárov.

Keď sa posunuli k druhému dňu, ZDI udelil čiastku 270 000 dolárov tým výskumníkom, ktorí identifikovali nové chyby v prehliadačoch Microsoft Edge a Mozilla Firefox.

Týmto spôsobom sa vedcom podarilo hacknúť Edge:

To je všetko, čo bolo potrebné na prechod z prehliadača v klientovi virtuálneho počítača na vykonanie kódu na hypervízore, ktorý je v pozadí. Začali s chybou typu zmätok v prehliadači Microsoft Edge, potom použili závodný stav v jadre Windows, po ktorom nasledovalo písanie mimo hranice v pracovnej stanici VMware.

Najdôležitejšie je, že v systéme Firefox 66 bola chyba eskalácie jadra demonštrovaná Richardom Zhuom a Amat Cama oficiálne známy ako Fluoroacetate dostal cenu za 50 000 dolárov. Niklas Baumstark využil techniku ​​úniku z karantény na využitie Firefox 66.0 a získal cenu 40 000 dolárov.

Všetky tieto zraniteľné miesta boli nahlásené spoločnosti Microsoft a Mozilla a očakáva sa, že spoločnosti, ktoré pracujú na opravách, budú uvoľnené v nasledujúcich aktualizáciách.