Amaya Toman Auf einer Sicherheitskonferenz in Vancouver haben White-Hat-Hacker zwei Sicherheitslücken im Safari-Browser entdeckt. Einer von ihnen ist sogar in der Lage, seine Berechtigungen so anzupassen, dass er die vollständige Kontrolle über Ihren Mac übernimmt. Der erste der entdeckten Fehler konnte die Sandbox verlassen – eine virtuelle Sicherheitsmaßnahme, die es Anwendungen ermöglicht, nur auf ihre eigenen und Systemdaten zuzugreifen.
Der Wettbewerb wurde vom Fluoroacetate-Team gestartet, dessen Mitglieder Amat Cama und Richard Zhu waren. Das Team nahm gezielt den Safari-Webbrowser ins Visier, griff ihn erfolgreich an und verließ die Sandbox. Die gesamte Operation nahm fast die gesamte für das Team vorgesehene Zeit in Anspruch. Der Code war erst beim zweiten Mal erfolgreich und das Anzeigen des Fehlers brachte Team Fluoroacetate 55 US-Dollar und 5 Punkte für den Master of Pwn-Titel ein.
Der zweite aufgedeckte Fehler ermöglichte den Root- und Kernel-Zugriff auf einem Mac. Der Fehler wurde vom Phoenix- und Qwerty-Team demonstriert. Beim Surfen auf ihrer eigenen Website gelang es den Teammitgliedern, einen JIT-Bug auszulösen, gefolgt von einer Reihe von Aufgaben, die zu einem vollständigen Systemangriff führten. Apple wusste von einem der Fehler, aber die Demonstration der Fehler brachte den Teilnehmern 45 US-Dollar und 4 Punkte für den Master of Pwn-Titel ein.
Veranstalter der Konferenz ist Trend Micro im Rahmen seiner Zero-Day-Initiative (ZDI). Dieses Programm wurde entwickelt, um Hacker dazu zu ermutigen, Schwachstellen vertraulich direkt an Unternehmen zu melden, anstatt sie an die falschen Leute zu verkaufen. Finanzielle Belohnungen, Danksagungen und Titel sollten zur Motivation für Hacker werden.
Interessenten übermitteln die notwendigen Informationen direkt an ZDI, das die notwendigen Daten über den Anbieter erhebt. Direkt bei der Initiative angestellte Forscher prüfen die Reize dann in speziellen Prüflaboren und setzen dem Entdecker anschließend eine Belohnung aus. Die Auszahlung erfolgt unmittelbar nach der Genehmigung. Am ersten Tag zahlte ZDI über 240 Dollar an Experten aus.
Safari ist ein häufiger Einstiegspunkt für Hacker. Auf der letztjährigen Konferenz wurde beispielsweise der Browser verwendet, um die Kontrolle über die Touch Bar eines MacBook Pro zu übernehmen, und am selben Tag demonstrierten die Teilnehmer der Veranstaltung weitere browserbasierte Angriffe.
Source: Das ZDI
