Technische Unterstützung
Dokumentation
Anmeldung
Kontakt
Tesla, Microsoft Teams und andere werden bei Pwn2Own 2023 gehackt
April 5, 2023 - TuxCare PR Team
Am zweiten Tag von Pwn2Own Vancouver 2023 nutzte eine Gruppe von Sicherheitsforschern zehn Zero-Day-Schwachstellen in verschiedenen Produkten aus und verdiente damit insgesamt 475.000 US-Dollar. Zu den Zielen ihrer Angriffe gehörten das Tesla Model 3, die Kommunikationsplattform Teams von Microsoft, die Virtualisierungsplattform Oracle VirtualBox und das Betriebssystem Ubuntu Desktop.
Einer der bemerkenswertesten Erfolge des Tages kam von David Berard (@p0ly) und Vincent Dehors (@vdehors) von Synacktiv, die erfolgreich einen Exploit gegen das Tesla Model 3 Infotainment Unconfined Root ausgeführt haben. Sie erhielten 250.000 US-Dollar für die Demonstration einer Reihe von Zero-Day-Exploits, einschließlich eines Heap-Überlaufs und eines Out-of-Bounds-Write.
Während der Veranstaltung wurden auch andere erfolgreiche Hacks von den Sicherheitsforschern durchgeführt. So haben Thomas Imbert (@masthoon) und Thomas Bouzerar (@MajorTomSec) von Synacktiv eine Kette von drei Fehlern ausgenutzt, um die Privilegien auf einem Oracle VirtualBox-Host zu erweitern, und dafür 80.000 Dollar erhalten.
Tanguy Dubroca (@SidewayRE) von Synacktiv konnte einen Zero-Day für die falsche Skalierung von Zeigern nachweisen, der zu einer Ausweitung der Rechte auf dem Ubuntu-Desktop führte, und erhielt dafür 30.000 US-Dollar. Das Team Viettel (@vcslab) erhielt außerdem 78.000 US-Dollar für das Hacken von Microsoft Teams über eine Kette von zwei Fehlern und weitere 40.000 US-Dollar für die Ausnutzung von Oracles VirtualBox unter Verwendung eines Use-after-free (UAF)-Fehlers und einer nicht initialisierten Variablen.
Das in Singapur ansässige Unternehmen STAR Labs belegte den zweiten Platz, während sich das Team Viettel aus Vietnam den dritten Platz sicherte. Qrious Secure und Abdul-Aziz Hariri vom saudi-arabischen Unternehmen Haboob belegten die Plätze vier und fünf. Abdul-Aziz Hariri stellte sein Können unter Beweis, indem er den Adobe Reader auf macOS in weniger als 15 Sekunden erfolgreich ausnutzte.
Zusätzlich zu den oben genannten Exploits hackten die Teilnehmer des Wettbewerbs auch erfolgreich einen vollständig gepatchten Windows 11-Desktop und demonstrierten einen verketteten Angriff auf Oracles VirtualBox-Hypervisor mit einer Host-Eskalation der Privilegien sowie eine Privilegien-Eskalation auf dem Ubuntu-Desktop.
Am ersten Tag des Wettbewerbs demonstrierte eine Gruppe von Hackern 12 Zero-Day-Exploits im Tesla Model 3, Windows 11, Microsoft SharePoint, Oracle VirtualBox und macOS und gewann einen Tesla Model 3 und 100.000 Dollar Preisgeld. Synacktiv, die Gruppe, die für den Hack des Tesla Model 3 verantwortlich ist, nutzte einen Time-of-Check-Time-of-Use (TOCTOU)-Exploit, um Zugang zum Fahrzeug zu erhalten. Die Einzelheiten der Ausführung des Hacks wurden nicht bekannt gegeben, um mögliche Sicherheitsrisiken für Tesla-Besitzer zu vermeiden.
Tesla war in diesem Jahr das Ziel des Wettbewerbs, weil, so die Organisatoren: "Tesla hat die vernetzte Autoindustrie fast im Alleingang erfunden. Das Unternehmen weiß besser als die meisten anderen, was erforderlich ist, um der Konkurrenz und der Cyberkriminalität einen Schritt voraus zu sein: rigorose Tests und kontinuierliche Suche nach Softwarefehlern.
Hersteller haben 90 Tage Zeit, um Zero-Day-Schwachstellen zu patchen, die während Pwn2Own vorgeführt und offengelegt werden, bevor die Zero-Day-Initiative von Trend Micro die technischen Details veröffentlicht.
Zu den Quellen für diesen Beitrag gehört ein Artikel in BleepingComputer.
