Pwn2Own: Sicherheitslücken in iOS & Blackberry OS

Im Rahmen des diesjährigen Hackerwettbewerbs 'Pwn2Own' war es Teilnehmern möglich, kritische Sicherheitslücken in den beiden Mobilbetriebssystemen iOS und Blackberry OS aufzudecken. Das bedeutet, dass die Hacker unter anderem Zugang zu den auf den Smartphones gespeicherten Adressen und Bildern hatten. Über eine speziell zu diesem Zweck präparierte Webseite griffen drei Teilnehmer das Blackberry Torch 9800 an. Ausgenutzt wurde hierbei eine Schwachstelle in der Browser-Engine WebKit.

Offenbar wäre hierbei auch eine Remote-Codeausführung grundsätzlich möglich gewesen, da die Angreifer auf den Handys eigene Dateien ablegen konnten. Betroffen ist von dieser Problematik die Firmware-Version 6.0.0.246. Im Hinblick auf eine kürzlich veröffentlichte neue Firmwareversion wurde dieses Problem von den Entwicklern jedoch nicht aus der Welt geschafft.

Zwei weitere Hacker haben sich das iPhone 4 mit installiertem iOS 4.2.1 näher angeschaut. Auch in diesem Fall war es über eine manipulierte Webseite möglich, die Kontrolle über das iPhone zu übernehmen. Den offiziellen Angaben zufolge konnten die beiden Hacker das Adressbuch erfolgreich auslesen.

Da Apple kürzlich mit der veröffentlichten iOS-Version 4.3 die so genannte Address Space Layout Randomization (ASLR) eingeführt hat, ist diese Ausführung des mobilen Betriebssystems aus dem Hause Apple nicht von der Problematik betroffen.

Einem irischen Sicherheitsspezialisten ist es im Zuge des Pwn2Own-Wettbewerbs gelungen, die Sicherheitsmaßnahmen von Windows 7 und dem Internet Explorer 8 erfolgreich zu umgehen. Der Experte konnte eigenen Code auf den Systemen ausführen. Für einen erfolgreichen Angriff mussten allerdings drei Lücken miteinander kombiniert werden.

Von Microsoft selbst durchgeführte Tests haben ergeben, dass von dieser besagten Schwachstelle der Internet Explorer 9 nicht betroffen ist. Am kommenden Montag wird anlässlich des South By Southwest (SXSW) Festivals in Austin, Texas die neue Browserversion aus dem Hause Microsoft offiziell veröffentlicht.