Amaya Toman White Hat -hakkerit löysivät kaksi tietoturvavirhettä Safari-selaimessa turvallisuuskonferenssissa Vancouverissa. Yksi niistä pystyy jopa säätämään käyttöoikeuksiaan niin, että se ottaa Macin kokonaan hallintaansa. Ensimmäinen löydetyistä vioista pystyi poistumaan hiekkalaatikosta - virtuaalisesta turvatoimesta, jonka avulla sovellukset voivat käyttää vain omia ja järjestelmätietojaan.
Kilpailun aloitti Fluoroacetate-tiimi, jonka jäseninä olivat Amat Cama ja Richard Zhu. Tiimi kohdistui erityisesti Safari-verkkoselaimeen, hyökkäsi onnistuneesti sitä vastaan ja poistui hiekkalaatikosta. Koko operaatio vei lähes koko joukkueelle varatun aikarajan. Koodi onnistui vasta toisella kerralla, ja virheen näyttäminen ansaitsi Team Fluoroacetate $55 5 ja XNUMX pistettä kohti Master of Pwn -titteliä.
Toinen virhe paljasti sallitun pääkäyttäjän ja ytimen käytön Macissa. Vian osoitti phoenhex & qwerty -tiimi. Selatessaan omaa verkkosivustoaan tiimin jäsenet onnistuivat aktivoimaan JIT-virheen, jota seurasi sarja tehtäviä, jotka johtivat täydelliseen järjestelmähyökkäykseen. Apple tiesi yhdestä bugeista, mutta virheiden osoittaminen ansaitsi osallistujille 45 4 dollaria ja XNUMX pistettä Master of Pwn -tittelistä.
Konferenssin järjestäjänä toimii Trend Micro Zero Day -aloitteensa (ZDI) lipun alla. Tämä ohjelma luotiin rohkaisemaan hakkereita ilmoittamaan haavoittuvuuksista yksityisesti suoraan yrityksille sen sijaan, että myyvät ne väärille ihmisille. Taloudellisten palkkioiden, tunnustusten ja tittelin pitäisi olla hakkereiden motivaatio.
Kiinnostuneet lähettävät tarvittavat tiedot suoraan ZDI:lle, joka kerää tarvittavat tiedot palveluntarjoajalta. Aloitteen suoraan palkatut tutkijat tarkistavat ärsykkeet erityisissä testauslaboratorioissa ja tarjoavat sitten löytäjälle palkinnon. Se maksetaan heti sen hyväksymisen jälkeen. Ensimmäisen päivän aikana ZDI maksoi asiantuntijoille yli 240 XNUMX dollaria.
Safari on yleinen sisääntulopaikka hakkereille. Esimerkiksi viime vuoden konferenssissa selainta käytettiin MacBook Pron Touch Barin hallintaan, ja samana päivänä tapahtuman osallistujat esittelivät muita selainpohjaisia hyökkäyksiä.
Lähde: ZDI
