Google Chrome sneuvelt tijdens hackerwedstrijd
Google Chrome is op de eerste dag van de CanSecWest conferentie meerdere keren gehackt. Tijdens de conferentie wordt ook de bekende Pwn2Own hackerwedstrijd georganiseerd, waarbij onderzoekers de vier grote browsers moeten proberen te kraken. Daarbij zijn flinke geldprijzen te winnen. Google was het dit jaar niet eens met het wedstrijdreglement en besloot daarom een eigen competitie te starten met in totaal 1 miljoen dollar aan prijzengeld.
Zowel tijdens de reguliere als door Google opgezette competitie sneuvelde Chrome. Het Franse VUPEN zorgde ervoor dat Chrome als eerste werd gehackt via een exploit die zowel de beveiligingsmaatregelen DEP/ASLR als de Chrome sandbox omzeilen. Vanwege de regels hoeven de Fransen de exploit voor de sandbox niet te openbaren.
Pwnium
Dat is bij de door Google georganiseerde wedstrijd genaamd Pwnium wel een vereiste. Ook daar werd de browser geveld, door minder niemand dan Sergey Glazunov. De Russische onderzoeker is één van de voornaamste Chrome-hackers en wist het afgelopen jaar al tientallen lekken in de browser te vinden. Met zijn aanval verdiende de Rus 60.000 dollar. Glazunov gebruikte twee lekken om volledige controle over de browser te krijgen.
In tegenstelling tot Glazunov moeten de onderzoekers van VUPEN nog wachten op hun beloning. Pwn2Own hanteert dit jaar nieuwe regels, waarbij onderzoekers punten kunnen verdienen. Wie na het drie dagen durende evenement bovenaan staat, gaat er met 60.000 dollar vandoor. VUPEN heeft echter wel al een andere 'prijs' te pakken, het is namelijk voor het eerst dat Google Chrome sinds de Pwn2Own in 2009 begon wordt gehackt.
Browsers
De Fransen maken echter een goede kans op de hoofdprijs, want ze wisten op de eerste dag ook exploits voor Firefox, Internet Explorer en Safari te maken. het gaat hier niet om nieuwe lekken, maar om exploits voor oudere kwetsbaarheden. Het is de bedoeling om ter plekke een exploit te ontwikkelen, wat weer extra punten oplevert.
Voor een lek in Internet Explorer 8 hadden de VUPEN onderzoekers minder dan twintig minuten nodig. Met een exploit voor Firefox waren de Fransen een kleine twee uur bezig.
Ze moeten alles veel beter gaan beveiligen.
VUPEN zou zich moeten schamen, details van de exploit niet aan Google kenbaar maken en verkopen aan overheden e.d.....
“The Chrome sandbox is the most secure sandbox out there. It’s not an easy task to create a full exploit to bypass all the protections in the sandbox. I can say that Chrome is one of the most secure browsers available.”
“This just shows that any browser, or any software, can be hacked if there is enough motivation and skill,” he added.
Als je van de hacker in kwestie complimenten krijgt over de graad van veiligheid, dan doe je klaarblijkelijk toch iets goed.
VUPEN zou zich moeten schamen, details van de exploit niet aan Google kenbaar maken en verkopen aan overheden e.d.....
VUPEN zou zich moeten schamen, details van de exploit niet aan Google kenbaar maken en verkopen aan overheden e.d.....
Ja wie niet.
“The Chrome sandbox is the most secure sandbox out there. It’s not an easy task to create a full exploit to bypass all the protections in the sandbox. I can say that Chrome is one of the most secure browsers available.”
“This just shows that any browser, or any software, can be hacked if there is enough motivation and skill,” he added.
Als je van de hacker in kwestie complimenten krijgt over de graad van veiligheid, dan doe je klaarblijkelijk toch iets goed.
VUPEN zou zich moeten schamen, details van de exploit niet aan Google kenbaar maken en verkopen aan overheden e.d.....
Daarnaast is niet bekend of (alleen) overheden klanten zijn voor de lekken.
Peter
Ipv de captcha is onjuist
uw browser is onjuist
Je moet e.e.a in het juiste perspectief plaatsen.
De exploits zijn losgelaten op browsers die op een verder onbeschermd OS draaien. Onder real-world omstandigheden zouden de uitkomsten wel eens anders kunnen zijn.
De exploit van VUPEN gebruikt bijvoorbeeld een drive-by download die waarschijnlijk door het selectief blokkeren van java-script en een goede HIPS geblokkeerd had kunnen worden.
VUPEN zou zich moeten schamen, details van de exploit niet aan Google kenbaar maken en verkopen aan overheden e.d.....
Waarom zou je geen geld vragen aan Google? Als google een boet kan betalen van 500 miljoen, kunnen ze ook een lek uitbetalen.
http://www.analist.be/berichten/2011/08/24/10200/Google+betaalt+500+miljoen+boete
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
