Vanno giù tutti i browser nell’annuale hack fest Pwn2Own: Chrome, Firefox, Internet Explorer 10, Java e Windows 8 solo Safari, per ora, resiste anche se probabilmente è solo questione di ore, se non minuti, prima che il navigatore della Mela cada sotto i colpi degli hacker-
Nel corso della gara c’è stato poco da fare; nessun browser è rimasto in piedi nella configurazione di default e con le ultime patch rilasciate dai rispettivi produttori; la “colpa” è della grande esperienza degli hacker che hanno sfruttato vulnerabilità sconosciute e che (fortunatamente) saranno comunicate ai vendor. Firefox è stato scalfito dalla squadra francese di Vipen Security grazie a una tecnica che bypassa l’Address Space Layout Randomisation (ASLR) e la Data Execution Prevention (DEP) di Windows, due sistemi che randomizzano l’assegnazione dei dati agli spazi di memoria, così da rendere meno facile l’individuazione di funzioni cruciali del sistema operativo.
Windows 8 su un Surface Pro è crollato sfruttando due vulnerabilità zero-day di Internet Explorer e bypassando il meccanismo di sandboxing (una tecnica che isola le principali componenti di sistema dai dati e dalle altre applicazioni).
Java 7 è caduto nelle mani di Josh Drake della società Accuvant Labs, James Forshaw di Contextis e Vupen, che hanno sfruttato l’heap overflow (un sovraccarico nell’aria dati della memoria) per “bucare” la piattaforma.
Nils e Jon Butler di MWRLabs hanno individuato una falla nella sandbox di Chrome che ha permesso di sfruttare una vulnerabilità zero-day “puntando” il browser su Windows completo degli ultimi aggiornamenti su una pagina web nella quale era stato preparato codice in grado di attivare processi nella sandbox. I due hanno inoltre individuato vulnerabilità nel kernel con le quali è possibile ottenere privilegi elevati e avviare comandi arbitrari all’infuori della sandbox con privilegi di sistema.
Gli hacker si portano a casa un totale di 260.000$. Al momento in cui scriviamo nessuno è ancora riuscito a scardinare Safari (forse perchè il premio per abbatterlo è pari a 65.000$, più basso rispetto ad altri, anche se molto più alto rispetto ai 20.000$ offerti per Java). Nel momento in cui scriviamo gli hacker sono al lavoro per individuare vulnerabilità non note dei Reader e Flash di Adobe.
[A cura di Mauro Notarianni]
