Nieuws
image

Ubuntu en Windows 11 tien keer onderuit tijdens hackwedstrijd Pwn2Own

maandag 23 mei 2022, 10:48 door Redactie, 22 reacties

Onderzoekers zijn er tijdens de jaarlijkse hackwedstrijd Pwn2Own Vancouver tien keer in geslaagd om succesvolle aanvallen tegen Ubuntu Desktop en Windows 11 uit te voeren. De gebruikte kwetsbaarheden zijn aan beide leveranciers gemeld, zodat die beveiligingsupdates kunnen ontwikkelen. Details over de beveiligingslekken zijn nog niet openbaar gemaakt.

Tijdens Pwn2Own worden onderzoekers beloond voor het demonstreren van onbekende kwetsbaarheden in veelgebruikte software, zoals browsers, virtualisatiesoftware, kantoorsoftware, serversoftware en communicatiesoftware. Ook konden onderzoekers grote bedragen verdienen met aanvallen tegen een Tesla Model 3. De resultaten vielen dit jaar wat tegen in vergelijking met voorgaande jaren.

Zo werden er in de browsercategorie alleen succesvolle aanvallen tegen Firefox en Safari gedemonstreerd en bestond de grootste "hack" uit een aanval op Microsoft Teams waarmee systemen zijn over te nemen. De meeste kwetsbaarheden die onderzoekers lieten zien zijn aanwezig in Ubuntu Desktop en Windows 11. Het gaat hierbij om "elevation of privilege", waardoor een aanvaller die al toegang tot een systeem zijn rechten kan verhogen.

Doordat een aanvaller al toegang tot het systeem moet hebben is de impact van dergelijke aanvallen kleiner en leverden onderzoekers dan ook minder op. Voor een succesvolle aanval, waarbij een lek in de kernel moest worden gebruikt, werd 40.000 dollar betaald. Zes keer moest Windows 11 eraan geloven en vier keer was het raak bij Ubuntu Desktop. In totaal demonstreerden onderzoekers tijdens Pwn2Own Vancouver 25 onbekende kwetsbaarheden, wat goed was voor een prijzengeld van 1,1 miljoen dollar. De aanval op Microsoft Teams leverde met 150.000 dollar het meeste op. Leveranciers van de kwetsbare producten hebben negentig dagen de tijd gekregen om met patches te komen. Na deze deadline worden de details openbaar gemaakt.

Reacties (22)
23-05-2022, 12:05 door gradje71 - Bijgewerkt: 23-05-2022, 12:07
En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).
23-05-2022, 12:22 door Anoniem
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).
Als dat je insteek is, waarom geen Debian netinstall? Dan begin je met zo min mogelijk. Pak Sid, want de (insertletter)Ubuntu's zijn weinig meer dan Debian Sid met eigen sausje.

Dat domme gedoe met die tig distro's, is hoofdoorzaak dat Linux zo slecht aanslaat in de desktop wereld.
23-05-2022, 13:26 door [Account Verwijderd]
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Waarom draai je geen OpenBSD? Perfect geschikt voor de desktop tegenwoordig. ;)
23-05-2022, 13:40 door Anoniem
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Linux kernels zijn per definitie onveilig welke je ook gebruikt. Doe mij maar windows enterprise boven alle besturings systemen.
23-05-2022, 14:54 door [Account Verwijderd] - Bijgewerkt: 23-05-2022, 14:55
Door Anoniem:
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Linux kernels zijn per definitie onveilig welke je ook gebruikt. Doe mij maar windows enterprise boven alle besturings systemen.

Vertel, Linux kernels per definitie onveilig? Dat zou namelijk betekenen dat ALLE Android producten onveilig zouden zijn, 95% van de thuis routers etc. etc. etc. Ik ken jouw persoonlijke situatie niet maar ik ben er 99% van overtuigd dat jij ook apparatuur in huis hebt met daarop een Linux kernel.
23-05-2022, 15:13 door Anoniem
Door Anoniem: Linux kernels zijn per definitie onveilig welke je ook gebruikt. Doe mij maar windows enterprise boven alle besturings systemen.

Microsofts vlaggenschip Azure draait op Linux :-]

https://en.wikipedia.org/wiki/CBL-Mariner
23-05-2022, 15:17 door Anoniem
Door Eend: Ik ken jouw persoonlijke situatie niet maar ik ben er 99% van overtuigd dat jij ook apparatuur in huis hebt met daarop een Linux kernel.

Om te beginnen met de thermostaat van zijn CV-ketel, de smart-tv in de woonkamer en de Fitbit om zijn pols... :-)
23-05-2022, 16:31 door walmare
Door Anoniem:
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Linux kernels zijn per definitie onveilig welke je ook gebruikt. Doe mij maar windows enterprise boven alle besturings systemen.
Het gaat hier niet om een Linux kernel maar om een default ubuntu distributie, zeg maar de consumenten versie thuis waar jij de enige gebruiker bent. Veel interessante zou bv een enterprise rhel desktop zijn. Een default Ubuntu heeft niet de slimste security settings. Het is nog geen jaar geleden dat de default homefolder permissie op 755 stond.
23-05-2022, 18:11 door gradje71
Door Rexodus:
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Waarom draai je geen OpenBSD? Perfect geschikt voor de desktop tegenwoordig. ;)

Yeah. Right. Ik heb geen enkele probleem met OpenBSD, maar een goede desktop... Nee.
23-05-2022, 18:27 door Anoniem
Door gradje71:
Door Rexodus:
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Waarom draai je geen OpenBSD? Perfect geschikt voor de desktop tegenwoordig. ;)

Yeah. Right. Ik heb geen enkele probleem met OpenBSD, maar een goede desktop... Nee.
Wat is een goede desktop? waar moet die aan voldoen?
23-05-2022, 18:30 door Anoniem
Door gradje71:
Door Rexodus:
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Waarom draai je geen OpenBSD? Perfect geschikt voor de desktop tegenwoordig. ;)

Yeah. Right. Ik heb geen enkele probleem met OpenBSD, maar een goede desktop... Nee.

Men kan de Gnome desktop bovenop OpenBSD zetten. Dat ziet er cool uit, maar het maakt het iets minder veilig.
23-05-2022, 19:37 door Anoniem
En dan is Ubuntu nog een samenraapsel van onderdelen. Zometeen hebben ze een hack gedaan via Firefox, Gnome of LibreOffice en dan, omdat ze een Ubuntu distro installeerden, is het Ubuntu die fout is.

Ook belangrijk : eens zien wie als eerste de gevonden lekken gedicht heeft.
23-05-2022, 20:39 door Anoniem
Door Anoniem: En dan is Ubuntu nog een samenraapsel van onderdelen. Zometeen hebben ze een hack gedaan via Firefox, Gnome of LibreOffice en dan, omdat ze een Ubuntu distro installeerden, is het Ubuntu die fout is.

Ook belangrijk : eens zien wie als eerste de gevonden lekken gedicht heeft.
Want? Teentjes getrapt?
23-05-2022, 20:44 door Anoniem
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).
LOL got me. Als je tegen sommige mensen toch niets kan op een consumenten niveau, dan maar loslaten en "Jezus take the wheel" roepen.
23-05-2022, 20:47 door Anoniem
Door Anoniem: En dan is Ubuntu nog een samenraapsel van onderdelen. Zometeen hebben ze een hack gedaan via Firefox, Gnome of LibreOffice en dan, omdat ze een Ubuntu distro installeerden, is het Ubuntu die fout is.

Ook belangrijk : eens zien wie als eerste de gevonden lekken gedicht heeft.
https://ubuntu.com/security/CVE-2022-1802
https://ubuntu.com/security/CVE-2022-1529
23-05-2022, 20:57 door Anoniem
Door Anoniem: En dan is Ubuntu nog een samenraapsel van onderdelen.
Weer iemand die de UNIX filosofie niet begrijpt.
Ik ken een systeem waarvan de GUI verweven is met het OS. Blijkbaar frustreert dat je en moeten systemen die dit hebben opgelost het ontgelden.
23-05-2022, 22:26 door gradje71
Door Anoniem:
Door gradje71:
Door Rexodus:
Door gradje71: En dat is ook waarom ik geen standaard Ubuntu gebruik, maar een minimale versie: Xubuntu.

Niet dat die veel veiliger zal zijn, maar alle onzin die heb ik niet nodig. Daar gebruik in virtualisatie voor (die ook weer bugs heeft, dat weet ik ook wel).

Waarom draai je geen OpenBSD? Perfect geschikt voor de desktop tegenwoordig. ;)

Yeah. Right. Ik heb geen enkele probleem met OpenBSD, maar een goede desktop... Nee.
Wat is een goede desktop? waar moet die aan voldoen?

Goede vraag. Nou, bv dat mijn scanner en printer naar behoren werken. Driver support dus. En ZFS zou ook leuk zijn, maar dat willen ze niet bij OpenBSD omdat ZFS veel teveel code bevat. Dat soort dingen. Maar GNOME hoeft voor mij echt niet. Heeft iemand ook Qubes werken? Werkt dat een beetje naar behoren?
24-05-2022, 08:15 door Bitje-scheef
Ik vrees dat MS Teams nog veel aanvallen gaat krijgen in de toekomst. Verbaast mij niets. Teams is populair (grotendeels ook terecht). De lekken in Ubuntu ben ik niet zo heel bang voor. Meestal binnen enkele dagen gefixt.
24-05-2022, 08:41 door Anoniem
Door Anoniem:
Door Anoniem: Linux kernels zijn per definitie onveilig welke je ook gebruikt. Doe mij maar windows enterprise boven alle besturings systemen.

Microsofts vlaggenschip Azure draait op Linux :-]

https://en.wikipedia.org/wiki/CBL-Mariner
Dat wist ik niet, wel weet ik dat praktisch elke website van Microsoft op de Linux servers draaien van Akamai.

Dadelijk wordt de NT kernel vervangen voor de Linux kernel in Windows.
24-05-2022, 13:38 door Anoniem
Door Anoniem:
Door Anoniem: Linux kernels zijn per definitie onveilig welke je ook gebruikt. Doe mij maar windows enterprise boven alle besturings systemen.

Microsofts vlaggenschip Azure draait op Linux :-]

https://en.wikipedia.org/wiki/CBL-Mariner

Microsoft gebruikt CBL voor sommige container en netwerk diensten op Azure, maar Azure zelf, "de fabric", draait sinds jaar en dag op een aangepaste versie van Windows Server. De software ontwikkeling bij Microsoft is lang geleden omgedraaid: dingen worden eerst in/voor de cloud ontwikkeld en vinden daarna hun weg in de "traditionele" versies (zoals Windows Server 2019 en Exchange).
24-05-2022, 17:32 door Anoniem
Door Anoniem:
Door Anoniem:
Door Anoniem: Linux kernels zijn per definitie onveilig welke je ook gebruikt. Doe mij maar windows enterprise boven alle besturings systemen.

Microsofts vlaggenschip Azure draait op Linux :-]

https://en.wikipedia.org/wiki/CBL-Mariner

Microsoft gebruikt CBL voor sommige container en netwerk diensten op Azure, maar Azure zelf, "de fabric", draait sinds jaar en dag op een aangepaste versie van Windows Server. De software ontwikkeling bij Microsoft is lang geleden omgedraaid: dingen worden eerst in/voor de cloud ontwikkeld en vinden daarna hun weg in de "traditionele" versies (zoals Windows Server 2019 en Exchange).
De hypervisor is op basis van windows 2008. Oud in inflexibel dus. Daarom zijn er ook regelmatig storingen (unexpected reboots etc)
24-05-2022, 23:15 door Anoniem
Ik ben echt stom verbaasd over de lage beloningen. Voor dergelijke exploits worden tonnen al dan niet miljoenen betaald in de donkere hoeken van het net. Big tech bedrijven stinken van het geld en dan vraag ik me toch echt af waar hun prioriteiten liggen. Het zou een grote naam sieren als ze flink inzetten om lekken aan het licht te brengen en patchen tbh van gebruikers en hun imago.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure