Rückblick auf Pwn2Own 2014:
IE viermal gehackt

Im Rahmen der "Zero Day Initiative" hatte HP auch in diesem Jahr während der CanSecWest-Konferenz in Vancouver Sicherheitsspezialisten und Hacker zum Pwn2Own-Wettbewerb eingeladen. In zwei Wettbewerbs-Tagen fanden die Teams diverse Schwachstellen und nutzten bisher nicht bekannte Sicherheitslücken. So konnten bei allen Webbrowsern der großen Anbieter Sicherheitslücken aufgezeigt werden. Windows 8.1 sowie Mac OS X 10.9 waren die beiden Betriebssysteme, mit denen sich die Teilnehmer auseinandersetzten. Ziele waren die Webbrowser Chrome, Firefox, Internet Explorer und Safari. Dazu wurden Sicherheitslücken in Flash Player, Adobe Reader und Java ausgenutzt, um die Sicherheit der Browser auszuhebeln. Im Wettbewerb wurden schließlich Firefox und Internet Explorer durch diverse Schwachstellen jeweils viermal erfolgreich gehackt. Die beiden Deutschen Sebastian Appelt und Andreas Schmidt von Siberas nutzten einen Kernel-Fehler und zwei so genannte Use-after-free-Bugs im IE und erlangten damit Zugriff auf das System.

Chrome und Safari ließen sich jeweils zweimal erfolgreich umgehen, um aus der Sandbox auszureißen.

Alle Exploits werden an die betroffenen Anbieter weitergeleitet. Die Sicherheitslücke im Google Chrome wurde bereits geschlossen, das Update steht seit gestern bereits zur Verfügung. Für Firefox wurde ein Update für die kommende Woche versprochen. Wann die anderen Firmen mit Sicherheitsaktualisierungen herauskommen werden, ist noch nicht bekannt.

Insgesamt waren für diesen Wettbewerb Preise im Wert von über eine Million US-Dollar ausgelobt worden. Über 850.000 US-Dollar wurden schließlich an die acht Teilnehmergruppen ausgezahlt, weitere 385.000 US-Dollar Preisgeld wurden nicht vergeben. Dazu gab es Sachpreise wie Laptops. Die Sponsoren-Teams von HP und Google hatten zusätzlich Spenden in Höhe von 82.500 US-Dollar an das Rote Kreuz Kanada zusammengetragen und beim außer der Konkurrenz laufenden Pwn4Fun unter anderem die Übernahme des Mac-Taschenrechners über eine Lücke im Webbrowser Safari demonstriert.