Letzte Woche fand in Kanada auf der Konferenz CanSecWest der jährliche Wettbewerb Pwn2Own 2019 statt, organisiert von der Trend Micro Zero Day Initiative (ZDI). Der Preispool der Veranstaltung lag in diesem Jahr bei über einer Million Dollar. Doch die Teilnehmer gewannen nicht nur Geld: Einem Team gelang es beispielsweise, einen Tesla Model 3 zu hacken und ihn gleich für sich zu behalten.
Lors des ersten Wettbewerbstages, wurden Apple Safari, Oracle VirtualBox und VMware Workstation gehackt, was den Forschern 240 000 USD einbrachte. Das Team Fluoroacetate erzielte die besten Ergebnisse, darunter Amat Cama und Richard Zhu, der im vergangenen Jahr zum produktivsten Teilnehmer wurde und den Titel Master of Pwn errang.
Fluoroacetate demonstrierte funktionierende Exploits für Safari (ein vollständiger Überlauf und ein Heap-Fehler, der zu einem Sandbox-Escape führte), Oracle VirtualBox (Rechteausweitung und beliebige Codeausführung) und VMware Workstation (ein Virtual-Machine-Escape und eine Ausführung im Host-Betriebssystem). Dafür erhielt das Team 55 000 $, 35 000 $ bzw. 70 000 $. Damit hatte Fluoroacetate nach dem ersten Wettbewerbstag bereits 160 000 $ gesammelt.
Ebenfalls am ersten Tag stellte der Forscher anhdaden von STAR Labs (35 000 $) seinen Exploit für Oracle VirtualBox vor (phoenhex & qwerty) und zeigte eine vollständige Kontrolle über das System durch die Ausnutzung von Schwachstellen in Apple Safari (45 000 $).
Am zweiten Tag von Pwn2Own nahmen Sicherheitsexperten die Browser Mozilla Firefox und Microsoft Edge auseinander. Auch hier zeigte das beste Ergebnis wieder die Jungs von Fluoroacetate. Zuerst präsentierten sie einen Exploit für Firefox, der den JIT-Fehler (Just-in-Time) und das Problem des Schreibens über die Grenzen des im Windows-Kernel zugewiesenen Speichers ausnutzte. Dadurch wurde die Ausführung von Code auf Systemebene demonstriert, und um die Probleme auszulösen, genügte es, dass Nutzer von Firefox die bösartige Website der Forscher aufriefen. Dafür erhielt das Team 50 000 $.
Das vollständige Hacken von Edge umfasste das Ausbrechen aus einer virtuellen Maschine, eine kritische Race Condition im Kernel und einen Type-Confusion-Fehler im Browser selbst. Die Kombination dieser Schwachstellen half den Spezialisten, dafür zu sorgen, dass der auf der virtuellen Maschine laufende Browser beliebigen Code auf dem Host-Betriebssystem ausführte. Dieser Hack brachte der Fluoroacetate-Sparbüchse weitere 130 000 Dollar ein.
Außerdem erhielt am zweiten Wettbewerbstag Niklas Baumstark 40 000 USD für den JIT-Fehler und die Logikschwachstelle in Firefox, und Arthur Gerkis von Exodus Intelligence 50 000 USD für den Sandbox-Escape in Microsoft Edge.
Der dritte Tag des Wettbewerbs war dem Automobil-Hacking gewidmet. Dieses Jahr waren die Teilnehmer aufgefordert, die Tesla Model 3 zu hacken, und zwei Teams bewarben sich für die Teilnahme: Fluoroacetate und Team KunnaPwn. Am Morgen des dritten Tages wurde jedoch bekannt, dass Team KunnaPwn seine Bewerbung zurückgezogen hatte und nicht am Wettbewerb teilnehmen wollte. Letztlich knackten nur Zhu und Kama das Auto.
Das Team Fluoroacetate zeigte, dass das Infotainmentsystem der Fahrzeuge kompromittiert werden konnte. Die Experten führten JIT-Code beim Rendern des Browsers aus, griffen auf die Firmware des Autos zu und schafften es, über das Multimediasystem ihre eigene Nachricht anzuzeigen.
Die erfolgreiche Kompromittierung des Tesla Model 3 brachte dem Team nicht nur weitere 35 000 Dollar ein, sondern ermöglichte den Spezialisten auch, das gehackte Auto zu behalten (gemäß den Regeln von Pwn2Own gehen alle gehackten Geräte an die Forscher). Vertreter von Tesla versprachen, die von den Experten entdeckten Probleme in den kommenden Tagen zu beheben.
Insgesamt gewannen die Teilnehmer von Pwn2Own in diesem Jahr 545 000 US-Dollar, wovon 375 000 an das Team Fluoroacetate gingen. Zhu und Kama erhielten erneut den Titel Master of Pwn, also die leistungsstärksten Hacker des Jahres.
