macOS, Ubuntu i Windows z poważnymi lukami
Pwn20wn to coroczne wydarzenie poświęcone cyberbezpieczeństwu. Gromadzi ono zapalonych hakerów, którzy próbują mierzyć się z zabezpieczeniami różnych systemów. W tym roku za odkrycie i wykorzystanie do włamania określonego zestawu błędów można było wygrać 180 tys. dolarów. Impreza miała się odbyć w Kanadzie, ale ze względu na pandemię wirusa Covid-19 organizatorzy zaproponowali w tym roku sesję online.
Błędy były podzielone na trzy kategorie: hakerzy mieli za zadanie pokonać systemy bezpieczeństwa macOS-a, Windowsa 10 oraz Ubuntu. Wszystkie trzy udało się zhakować, a wykorzystane w tym celu błędy zostały udokumentowane.
Słabą stroną macOS-a okazała się przeglądarka Safari, której luka pozwalała użytkownikowi łatwo zwiększyć uprawnienia w systemie. Skorzystanie z kombinacji 6 pomniejszych błędów pozwoliło zespołowi Security Lab wyłączyć ochronę integralności systemu i uzyskać dostęp do kodu na poziomie jądra systemowego. Za ten wyczyn przyznano nagrodę w wysokości 70 tys. dolarów.
Ubuntu udało się pokonać poprzez lokalną eskalację uprawnień i zyskanie w ten sposób dostępu do roota (konto administratora). Zespół RedRocket otrzymał 30 tys. dolarów nagrody za wykorzystanie błędu sprawdzania poprawności danych wejściowych w jądrze.
Aż dwukrotnie udało się pokonać natomiast zabezpieczenia Windowsa 10 – w obu przypadkach wykorzystano do tego standardowe konto użytkownika. Ekipy Flourescence i Fluoroacetate otrzymały po 40 tys. dolarów ze względu na odmienną metodę osiągnięcia celu.
Podczas drugiego dnia imprezy hakowano natomiast pomniejsze programy, takie jak VirtualBox, Adobe Reader czy VMWare Workstation. Każda z nich również wykazywała pewne niedoskonałości w zastosowanych zabezpieczeniach.
Twórcy imprezy opowiedzieli o błędach użytkownikom, zatajając jednak dokładny ich opis, aby uniknąć niebezpieczeństwa ich wykorzystania. Raporty trafiły natomiast do poszczególnych firm, co ma na celu ułatwić im pracę nad poprawkami. Programiści mają teraz 90 dni na uporanie się z problemami, zanim dane o lukach zostaną ujawnione.
fot. Pwn20wn
