חוקר אבטחה בשם Peter Vreugdenhil מהולנד, הציג בכנס CanSecWest (במסגרת התחרות Pwn2Own) אקספלויט שכתב המסוגל לנצל חולשה בדפדפן IE8 תחת מערכת ההפעלה Windows7/64bit (מעודכנת לחלוטין). מה שזיכה אותו ב-10,000 דולר ומחשב נייד חדש.
על התחרות ZDI בכנס, אחראית ZDI. השנה, הדפדפנים ש-Pwn2Own הציבה היו:
- Microsoft Internet Explorer 8 on Windows 7
- Microsoft Internet Explorer 7 on Windows Vista
- Microsoft Internet Explorer 7 on Windows XP
- Google Chrome 4 on Windows 7
- Google Chrome 4 on Windows Vista
- Google Chrome 4 on Windows XP
- Mozilla Firefox 3 on Windows 7
- Mozilla Firefox 3 on Windows Vista
- Mozilla Firefox 3 on Windows XP
- Apple Safari 4 on MacOS X Snow Leopard
אשר חולקו לכ-4 ימי תחרות, בכל יום ארבעה מטרות שונות.
לפי דבריו של פיטר, כותב האקספלויט, הקוד מחולק לשני חלקים עיקריים, החלק הראשון מבצע עקיפה של ה-ASLR ע”י ניצול חולשת Heap Overflow בכדי להשיג את ה-Base Address המקורי של ה-DLL הבעייתי, החלק השני של הקוד ביצע עקיפה של מנגנון ה-DEP ע”י ניצול חולשת Read/Use After Free וביצוע Spraying בתקווה שלפחות אחת מהנקודות המשוכתבות תיהיה נקודת הנחיתה של התוכנית.
הסבר מצוין על שני הפעולות שבוצעו בכתיבת האקספלויט אפשר למצוא פה.
בנוסף, במסגרת התחרות נפרצה גם גרסאתו האחרונה של הדפדפן Firefox3 ע”י בחור בן 26 שהסכים להזדהות רק כ-“Nils”, על המערכת החלונאית- וזכה גם הוא ב-10,000 דולר ומחשב נייד של סוני.
מה שמעניין הוא זה שאם אני זוכר טוב, שנה שעברה אותו בחור (שגם אז הסכים להזדהות רק כ”Nils”) הצליח לפרוץ שלושה מתוך ארבעה דפדפנים שהיו בתחרות (IE, Safari ו-Firefox)
גם גרסאתו האחרונה של הדפדפן Safari4 על MacBook תחת 10.6 MacOS X Snow Leopard נפרצה, ע”י חוקר אבטחה בשם Charlie Miller.
חולשה נוספת באותו דפדפן (בגרסאתו למכשיר ה-IPhone) אשר אפשרה לחוקרי האבטחה Ralf Phillip Weinmann ו-Vincenzo Iozzo (שניהם מ-Zynamics) להשיג שליטה מלאה על מכשיר IPhone. ה-Payload שלהם העתיק את כלל מסד נתוני ה-SMS-ים לשרת הנמצא בשליטת התוקפים. אפשר לקרוא עליהם בפוסט שנכתב בבלוג של פוסט.
אם Vincenzo lozzo נשמע לכם כל כך מוכר, זה יכול להיות מאוד בגלל ההרצאה (או המאמר) שלו בכנס האחרון של Blackhat על Zero-Kowledge Fuzzing שהתקיים בחודש שעבר.
מתוך ארבעת הדפדפנים שהוצבו כמטרה לפריצה בתחרות, נפרצו כולם חוץ מ-Chrome של Google, קשה לקבוע מה נתון זה מעיד על האבטחה של הדפדפן, אם כי אכן מדובר בתחרות יוקרתית (בלי שום קשר לפרסים שחולקו שם). בכל אופן, אותי זה משמח.
כל הקונספט בהחלט מגניב, אבל אחת ה”בעיות” העקריות בתחרות הזאת היא שהיא ממומנת ע”י ZDI, מה שאומר שאין יותר מדי סיכוי להשיג את קטעי קוד מאותם האקספלויטים (לצורכי למידה כמובן…)
-איפה לעזאזל נעלם חופש המידע שאמור להניע את עולם ההאקינג? :)