Sigurnosni istraživači ispravno su hakirali Microsoft Edge i Mozilla Firefox i zaradili novčanu nagradu u iznosu od 270 000 američkih dolara na hakerskom događaju Pwn2Own.

Preglednik Firefox 66 objavljen je 19. ožujka, tako da je tvrtka pustila prijateljske hakere da ga napadnu kako bi otkrili bilo kakve potencijalne sigurnosne ranjivosti.

Istraživači su identificirali dva problema u web-pregledniku. Već sljedećeg dana tvrtka je odlučila izdati zakrpu kako bi ih popravila u ažuriranju Firefox 66.0.1.

Oni koji nisu svjesni Pwn2Own, to je u osnovi godišnje natjecanje za hakiranje. Pruža sjajnu priliku sigurnosnim istraživačima kako bi mogli demonstrirati nove greške u nuli.

U zamjenu za njihov trud, ZDI (Trend Micro) Zero Day Initiative nagrađuje ih lijepim iznosom.

Dvojac @fluoroacetat to radi opet. Koristili su zbrku tipa u #Edgeu, stanje utrke u kernelu, a zatim ispisali izvan granica u #VMware za prelazak iz preglednika u virtualni klijent za izvršavanje koda na OS-u domaćina. Zarađuju 130K USD plus 13 Master Pwn bodova. pic.twitter.com/mD13kozJLv

- Zero Day Initiative (@thezdi) 21. ožujka 2019. godine

Pwn2Own Roundup

Istraživači koji su pokazali nove ranjivosti u Oracle VirtualBox, Apple Safari i VMware radnoj stanici dobili su 240.000 dolara prvog dana Pwn2Own 2019.

Krećući se prema drugom danu, ZDI je dodijelio iznos od 270 000 dolara onim istraživačima koji su prepoznali nove bugove u Microsoftovim preglednicima Edge i Mozilla Firefox.

Ovako su istraživači uspjeli hakirati Edgea:

To je sve što je potrebno da biste prešli od preglednika u klijentu virtualnog stroja do izvršenja koda na donjem hipervizoru. Krenuli su s pogreškom konfuzije tipa u pregledniku Microsoft Edge, a zatim su koristili uvjet utrke u Windows kernelu, a zatim pisanje izvan granica na VMware radnoj stanici

Ono što je najvažnije, nedostatak eskalacije jezgre u Firefoxu 66 pokazao je Richard Zhu, a Amat Cama službeno poznat kao Fluoroacetat dobio je nagradu u iznosu od 50 000 dolara. Niklas Baumstark koristio je tehniku ​​bijega u pijesku da bi iskoristio Firefox 66.0 i dobio nagradu od 40.000 dolara.

Sve ove ranjivosti prijavljene su Microsoftu i Mozilli, a kompanije koje rade na zakrpama očekuju se u sljedećim ažuriranjima.