Onderzoekers tonen zerodaylekken in Chrome, Safari en Edge
Onderzoekers hebben tijdens de Tianfu Cup in het Chinese Chengdu zerodaylekken in Google Chrome, Apple Safari, Microsoft Edge, Adobe Reader en Microsoft Office 365 ProPlus gedemonstreerd waardoor een aanvaller volledige controle over het onderliggende systeem kan krijgen.
De Tianfu Cup is de Chinese tegenhanger van Pwn2Own, een andere wedstrijd waarbij onderzoekers worden beloond voor het demonstreren van onbekende kwetsbaarheden. Gisteren was de eerste dag van het evenement, vandaag vindt dag twee plaats. In totaal is er een prijzengeld van 1 miljoen dollar beschikbaar voor het demonstreren van onbekende kwetsbaarheden.
De wedstrijd begon met verschillende aanvallen tegen Edge, gevolgd door Chrome en Safari. Alle drie de browsers sneuvelden. Alleen het bezoeken van een kwaadaardige of gecompromitteerde website met een volledig gepatchte versie van Chrome, Edge of Safari is voldoende om een aanvaller toegang tot het systeem te geven. Er is geen verdere interactie van gebruikers vereist en er zijn nog geen beveiligingsupdates voor de kwetsbaarheden beschikbaar gemaakt. Mozilla Firefox maakte geen deel uit van de wedstrijd.
Drie verschillende onderzoeksteams wisten Microsoft Edge te compromitteren. Team "ddd", dat eerder Edge compromitteerde, demonstreerde ook een succesvolle zerodayaanval tegen Google Chrome. Ook een ander team kreeg Googles browser op de knieën. Vier teams probeerden vervolgens een aanval tegen Apple Safari te laten zien, maar drie daarvan gaven op. Team "StackLeader" slaagde er wel in om Apples browser succesvol aan te vallen.
Bij de demonstratie van een zerodayaanval tegen Adobe Reader was StackLeader wederom succesvol, alsmede een ander team. Uiteindelijk moest ook Microsoft Office 365 ProPlus eraan geloven. Via een kwaadaardig rtf-document blijkt het mogelijk om willekeurige code uit te voeren en de ProtectionView-maatregel van de software deels te omzeilen. Verder toonden drie verschillende teams zerodaylekken in de D-Link DIR-878. Alle betrokken leveranciers en partijen zijn over de beveiligingslekken geïnformeerd. Wanneer er beveiligingsupdates zullen verschijnen is nog niet bekend.
En ze gingen allemaal voor de bijl...
Als ik een badkuip had gekocht waar niet enkel een zero day lek in zat, maar elke week een nieuwe, dan had ik al lang mijn geld terug gehad.
Want waar koop je anders een badkuip voor, nietwaar? Je durft dan toch niet eens meer over een eigen zwembad te dromen, of niettan?
Toont enkel aan dat men meer online moet oppassen, want niets is 100 % veilig op het web. Hoe hard je ook jouw browser, website, applicatie, database... beveiligt, er is altijd minstens één iemand die een kwetsbaarheid kan vinden.
Zoals dat artikel over VISA op deze site?
Ja op een gegeven moment moet je maar bidden en hopen dat het goed(blijft) gaan.
Het is een groot "zeroday" het Internet
Kan je evengoed malware op je computer installeren
it is the same thing
Ja, want op het internet kunnen tandartsen gewoon hersenchirurgie beoefenen.
Als ik een badkuip had gekocht waar niet enkel een zero day lek in zat, maar elke week een nieuwe, dan had ik al lang mijn geld terug gehad.
Want waar koop je anders een badkuip voor, nietwaar? Je durft dan toch niet eens meer over een eigen zwembad te dromen, of niettan?
Om dezelfde vergelijking te gebruiken, bij dergelijke hackdagen gaan mensen uit alle macht proberen de badkuip stuk te maken. Met de moker, drilboor, sloopkogel, snijbrander, chemicaliën, etc. Dan is het niet gek dat er af en toe weer iemand op duikt die creatief genoeg is om een onverwoestbare badkuip lek te maken. Het zijn gewoon prima producten. We moeten niet in de waan leven dat er onhackbare software bestaat. Het is daarom goed dat er zulke dagen georganiseerd worden en dat er financiële beloning bestaat voor de mensen die hier hun tijd aan besteden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
