Vorige week vond in Canada, tijdens de CanSecWest-conferentie, de jaarlijkse wedstrijd Pwn2Own 2019 plaats, georganiseerd door het Trend Micro Zero Day Initiative (ZDI). Het prijzengeld van het evenement bedroeg dit jaar meer dan een miljoen dollar. Maar de deelnemers wonnen niet alleen geld: een team slaagde er bijvoorbeeld in de Tesla Model 3 te hacken en de auto zelf te houden.
Tijdens de eerste dag van de wedstrijd werden Apple Safari, Oracle VirtualBox en VMware Workstation gehackt, wat de onderzoekers 240.000 USD opleverde. Team Fluoroacetate behaalde de beste resultaten, met onder anderen Amat Cama en Richard Zhu, die vorig jaar de meest productieve deelnemer werd en de titel Master of Pwn won.
Fluoroacetate demonstreerde werkende exploits voor Safari (een integer overflow en een heap overflow die leidden tot een sandbox-ontsnapping), Oracle VirtualBox (escalatie van rechten en uitvoering van willekeurige code) en VMware Workstation (een ontsnapping uit de virtuele machine en uitvoering in het hostbesturingssysteem). Dat leverde het team respectievelijk 55.000, 35.000 en 70.000 dollar op. Zo had Fluoroacetate na de eerste wedstrijddag al 160.000 dollar verdiend.
Ook op de eerste dag presenteerde onderzoeker anhdaden van STAR Labs (35.000 dollar) zijn exploit voor Oracle VirtualBox (phoenhex & qwerty) en toonde hij volledige controle over het systeem door kwetsbaarheden in Apple Safari te misbruiken (45.000 dollar).
Op de tweede dag van Pwn2Own kraakten beveiligingsexperts de browsers Mozilla Firefox en Microsoft Edge. Ook hier behaalden de mannen van Fluoroacetate het beste resultaat. Eerst presenteerden ze een exploit voor Firefox die gebruikmaakt van een JIT-bug (Just-in-Time) en een probleem met schrijven buiten de grenzen van het toegewezen geheugen in de Windows-kernel. Daarmee werd code-uitvoering op systeemniveau gedemonstreerd, en het volstond om met Firefox naar de kwaadaardige website van de onderzoekers te gaan. Dit leverde het team 50.000 dollar op.
De volledige hack van Edge omvatte een ontsnapping uit een virtuele machine, een kritieke race condition in de kernel en een type-confusion-bug in de browser zelf. Dankzij de combinatie van deze kwetsbaarheden kregen de specialisten de browser, draaiend in de virtuele machine, zover dat die willekeurige code uitvoerde op het hostbesturingssysteem. Deze hack bracht 130.000 dollar extra in het spaarvarken van Fluoroacetate.
Verder ontvingen op de tweede wedstrijddag Niklas Baumstark 40.000 USD voor een JIT-bug en een logische kwetsbaarheid in Firefox, en Arthur Gerkis van Exodus Intelligence 50.000 USD voor een sandbox-ontsnapping in Microsoft Edge.
De derde dag van de wedstrijd stond in het teken van het hacken van auto’s. Dit jaar werden de deelnemers namelijk uitgedaagd de Tesla Model 3 te hacken, en twee teams meldden zich aan: Fluoroacetate en Team KunnaPwn. Helaas bleek op de ochtend van de derde dag dat Team KunnaPwn zijn aanmelding had ingetrokken en niet aan de wedstrijd wilde deelnemen. Uiteindelijk wisten alleen Zhu en Cama de auto te kraken.
Team Fluoroacetate toonde aan dat het infotainmentsysteem van de auto was gecompromitteerd. De experts voerden JIT-code uit tijdens het renderen van de browser, kregen toegang tot de firmware van de auto en wisten via het multimediasysteem hun eigen bericht weer te geven.
De geslaagde hack van de Tesla Model 3 leverde het team niet alleen nog eens 35.000 dollar op, maar stelde de specialisten ook in staat de gehackte auto te houden (volgens de regels van Pwn2Own gaan alle gehackte apparaten naar de onderzoekers). Vertegenwoordigers van Tesla beloofden de door de experts ontdekte problemen de komende dagen op te lossen.
In totaal wonnen de deelnemers aan Pwn2Own dit jaar 545.000 Amerikaanse dollar, waarvan 375.000 naar team Fluoroacetate gingen. Zhu en Cama ontvingen opnieuw de titel Master of Pwn, oftewel de meest succesvolle hackers van het jaar.
