Por cuarto año consecutivo, The Zero Day Initiative (ZDI), el programa de compra de vulnerabilidades de TippingPoint, organiza la competencia Pwn2Own en la conferencia canadiense CansecWest.
Pwn2Own tiene una duración de 3 días, con foco en la explotación de browsers y móviles, donde el participante que primero realiza una explotación exitosa, es quien se lleva el premio.
Este año hay $100.000USD en premios, $40.000USD van dirigidos a los browsers, donde cada browser se lleva $10.000USD. Los browsers incluyen la ultima versión de Internet Explorer, Firefox, Chrome y Safari.
En el primer día de la competencia, fueron hackeados todos los browsers excepto Chrome. Es irónico que durante la operación Aurora, Google haya sido comprometido con una vulnerabilidad en Internet Explorer 6, cuando tienen un browser, que hasta ahora, parece ser el que posee mayor seguridad.
- Charlie Miller, quien presentara el año pasado en la ekoparty, logró por tercer año consecutivo hackear una MacBook a través de un bug en Safari.
- Nils de MWR InfoSecurity, logró explotar un bug de Firefox en Windows 7, con un payload que ejecutaba el famoso calc.exe.
- Peter Vreugdenhil, logró explotar un bug de Internet Explorer 8 en Windows 7, con una sofisticada técnica para evadir DEP y ASLR (pequeño video / detalles técnicos).
Mucha gente también se pregunta porque fueron excluidos Ubuntu y otras variantes de Linux, como bien lo explicaba Charlie en una entrevista, no se debe a que estos sean seguros, sino a la cantidad de usuarios que posee cada SO. La idea de este tipo de competencias es quitar 0-days peligrosos del mercado y evitar poner a los usuarios ante un riesgo importante.
Los $60.000USD restantes de los premios, van dirigidos a quienes puedan explotar móviles, donde cada móvil se lleva $15.000USD. Los móviles en cuestión son el iPhone 3GS, Blackberry Bold 9700, Nokia E72 (Symbian) y Nexus One (Android).
- Vincenzo Iozzo, un researcher italiano de 22 años, junto a Ralf Philipp Weinmann, de la Universidad de Luxemburgo, logró hackear un iPhone a través de un bug en Safari. El payload que utilizaron lograba bajar la base de datos SMS.
Vamos a ver como continua todo esto, todavía nos podemos llevar alguna sorpresa con Chrome y los otros móviles.
Este año hay $100.000USD en premios, $40.000USD van dirigidos a los browsers, donde cada browser se lleva $10.000USD. Los browsers incluyen la ultima versión de Internet Explorer, Firefox, Chrome y Safari.
En el primer día de la competencia, fueron hackeados todos los browsers excepto Chrome. Es irónico que durante la operación Aurora, Google haya sido comprometido con una vulnerabilidad en Internet Explorer 6, cuando tienen un browser, que hasta ahora, parece ser el que posee mayor seguridad.
- Charlie Miller, quien presentara el año pasado en la ekoparty, logró por tercer año consecutivo hackear una MacBook a través de un bug en Safari.
- Nils de MWR InfoSecurity, logró explotar un bug de Firefox en Windows 7, con un payload que ejecutaba el famoso calc.exe.
- Peter Vreugdenhil, logró explotar un bug de Internet Explorer 8 en Windows 7, con una sofisticada técnica para evadir DEP y ASLR (pequeño video / detalles técnicos).
Mucha gente también se pregunta porque fueron excluidos Ubuntu y otras variantes de Linux, como bien lo explicaba Charlie en una entrevista, no se debe a que estos sean seguros, sino a la cantidad de usuarios que posee cada SO. La idea de este tipo de competencias es quitar 0-days peligrosos del mercado y evitar poner a los usuarios ante un riesgo importante.
Los $60.000USD restantes de los premios, van dirigidos a quienes puedan explotar móviles, donde cada móvil se lleva $15.000USD. Los móviles en cuestión son el iPhone 3GS, Blackberry Bold 9700, Nokia E72 (Symbian) y Nexus One (Android).
- Vincenzo Iozzo, un researcher italiano de 22 años, junto a Ralf Philipp Weinmann, de la Universidad de Luxemburgo, logró hackear un iPhone a través de un bug en Safari. El payload que utilizaron lograba bajar la base de datos SMS.
Vamos a ver como continua todo esto, todavía nos podemos llevar alguna sorpresa con Chrome y los otros móviles.
Publicado por Leonardo Pigñer en KungFooSion.blogspot.com
2 comentarios:
Según parece, Chrome se libró porque no lo intentaron siquiera como menciona ZDnet: http://blogs.zdnet.com/security/?p=5865
Si nadie lo intento, es porque obviamente debe ser mas difícil que los otros. No creo que researchers tan renombrados no hayan intentado encontrarle algún bug. Así que "por ahora" es el mas seguro :P
Esperemos a que termine la competencia a ver que pasa.
Saludos.
Publicar un comentario