»

Drugi dan Pwn2Own 2015 stoodstoten uspeh

Slo-Tech - V petek je bil v Vancouvru drugi dan tekmovanja Pwn2Own in tudi to pot so tekmovalci vdrli v vse izdelke na preizkušnji. Junak dneva je bil Jung Hoon Lee, ki je pod vzdevkom lokihardt zlomil zadnjo stabilno in najnovejšo beta verzijo brskalnika Chrome. Prek brskalnika mu je uspelo priti do dveh gonilnikov v jedru Windows, kar mu je omogočilo prevzem popolnega nadzora nad sistemom. V dveh minutah je dobil 110.000 dolarjev, kar je najvišja nagrada v zgodovini Pwn2Own. Seveda pa je treba vedeti, da trajajo priprave na tekmovanje več mesecev in da tekmovalci tja pridejo z že izdelanimi kosi kode za njim poznane ranljivosti, tako da si je ta znesek v resnici prislužil z večmesečnim delom (in večletnim izobraževanjem).

Že pred tem je Lee...

4 komentarji

Prvi dan Mobile Pwn2Own vsi telefoni padli kot zrele hruške

Slo-Tech - Za nami je prvi dan dvodnevnega tekmovanja Mobile Pwn2Own, ki poteka v okviru konference PanSec v Tokiu. Za razliko od klasičnega Pwn2Owna so tu tarče telefoni, katerih zaščito poizkušajo prijavljeni tekmovalci zlomiti. Prvi dan je bil njihov izkupiček stoodstoten.

Mobile Pwn2Own tako kot izvirno verzijo organizira Zero Day Initiative, ki je v lasti Hewlett-Packarda. Letošnja sponzorja sta Google in BlackBerry, ki sta prispevala za 450.000 dolarjev nagrad. Tekmovalci se merijo v več kategorijah.

Prvi dan so bili na tapeti iPhone 5S, Samsung Galaxy S5, LG Nexus 5 in Amazon Fire Phone. Pet ekip se je lotilo štirih tarč in jih tudi zlomilo, pri čemer so našli devet hroščev. Korejska ekipa...

23 komentarjev

Google Zero bo iskal hrošče tudi v tujih programih

Chris Evans nabira ekipo za Project Zero.

Chris Evans nabira ekipo za Project Zero.

Wired News - Projekti nagrajevanja odkriteljev ranljivosti v programski opremi (bug bounties) so med podjetji že nekaj običajnega. Ima ga tudi Google, kjer so v štirih letih podelili že precej nagrad. Sedaj pa bo Google lovljenje hroščev dvignil na novo dimenzijo, saj se bodo lotili tudi tuje programske opreme in to kar v lastni hiši.

Zagnali so Project Zero, na katerem bodo zaposlili največje strokovnjake za iskanje ranljivosti in lovljenje hroščev. Ti ne bodo imeli...

15 komentarjev

Prvi dan Pwn2Own 2013 zlomljeni Chrome, Firefox, IE10 in Java

ComputerWorld - V Vancouvru poteka že sedmi Pwn2Own, kakor se imenuje vsakoletno tekmovanje v iskanju ranljivosti in njihovi uporabi za vdor v priljubljene operacijske sisteme, brskalnike in mobilne naprave. Letos se ponovno vrača Google, ki je lani sponzorstvo odpovedal, ker spremenjena pravila niso zahtevala razkritja uporabljenih ranljivosti proizvajalcu. Letos je spet vse po starem, saj morajo tekmovalci razkriti vse detajle o ranljivosti, da si prislužijo nagrado (tehnično gledano jim ZDI ranljivost odkupi). Nagradni sklad ni skromen in znaša dobrega pol milijona dolarjev.

Prvi dan tekmovanja so že padle največje zvezde. Francosko podjetje VUPEN, ki je vodilno v iskanju in žal tudi trgovanju...

13 komentarjev

Letošnji Pwn2Own z višjimi nagradami in povratkom Googla

Lanski zmagovalci so bili iz francoskega VUPEN-a

Lanski zmagovalci so bili iz francoskega VUPEN-a

vir: ComputerWorld
ComputerWorld - Vsakoletno tekmovanje hekerjev Pwn2Own, kjer se v Vancouvru zberejo najboljši iskalci ranljivosti ter napadajo priljubljene brskalnike in operacijske sisteme, bo letos nagradni sklad dvignilo za petkrat, so sporočili prireditelji. Pwn2Own bo letos potekal od 6. do 8. marca na konferenci CanSecWest v Vancouvru pod pokroviteljstvom HP TippingPointa. Nagradni sklad se je dvignil na 560.000 dolarjev.

Glavna nagrada v višini 100.000 gre tistemu, ki bo prvi kompromitiral Chrome na Windows 7 ali Internet Explorer 10 na Windows 8. Uspešen napad na IE9 bo vreden 75.000 dolarjev, Flash in Adobe Reader vsak po 70.000 dolarjev, Safari 65.000 dolarjev, Firefox 60.000 dolarjev in Java 20.000...

10 komentarjev

Internet Explorer 9 padel v Pwn2Own

ZDNet - Naslednji brskalnik, ki je padel na letošnjem hekerskem tekmovanju Pwn2Own v kanadskem Vancouvru, je Internet Explorer. Po tem ko je francoska skupina VUPEN takoj po začetku tekmovanja razsula Googlov Chrome (Chrome sicer letos tehnično ni del uradnega Pwn2Own, a to ni pomembno), so sedaj uspešno kompromitirali še računalnik s sveže nameščenim Windows 7 SP1 in Internet Explorerjem 9 z vsemi popravki.

Chaouki Bekrar iz VUPEN-a pojasnjuje, da so uporabili zelo staro ranljivost, povezano s prekoračitvijo kopice (heap overflow), s čimer so obšli DEP in ASLR, in nepovezano ranljivost v upravljanju s pomnilniškim prostorom. Luknja se je prvikrat pojavila že v Internet Explorerju 6 in do danes ni bila javno razkrita, tako da...

49 komentarjev

Chrome že padel v Pwn2Own

 VUPENov soustanovitelj in vodja razvoja Chaouki Bekrar.

VUPENov soustanovitelj in vodja razvoja Chaouki Bekrar.

Slo-Tech - Letošnje tekmovanje v iskanju varnostnih pomanjkljivosti se je šele začelo, vendar že vemo, da Google Chrome tokrat ne bo uspel ohraniti lanske titule kot edini nedotaknjeni brskalnik. Francoska skupina VUPEN je namreč le pet minut po začetku prijavila exploit, ki z izkoriščenjem dveh napak uspešno prebije Chromov sandbox. Google je pristnost eksploita že potrdil, tako da jih čaka vsaj 60 tisoč dolarjev, prenosnik Google Chromebook in morda še del skupnega nagradnega sklada 1 milijona dolarjev.

VUPEN in Google imata že nekaj zgodovine. Gre za francosko varnostno podjetje, ki testira varnost priljubljenih programskih paketov in potem svojim naročnikom za lepe vsote prodaja rezultate...

11 komentarjev

Google skupno ponuja milijon dolarjev za ranljivosti v Chromu

Google bo delil tudi chromebooke

Google bo delil tudi chromebooke

vir: Chromium Blog
Chromium Blog - Približuje se letošnji dogodek CanSecWest, ki vsako leto marca poteka v kanadskem Vancouvru in v okviru katerega se odvije tudi hekersko tekmovanje Pwn2Own. Na njem se pomerijo ekipe strokovnjakov iz celega sveta in poizkusijo izkoristiti ranljivosti v brskalnikih in mobilnih telefonih, zmagovalci pa so bogato nagrajeni. Letošnji CanSecWest se bo začel danes teden in bo trajal tri dni. Program bo podoben kot lani, le da se je Google odločil, da ne bo več sodeloval, ampak bo razpisal lastno tekmovanje.

Razlog je sprememba pravil na Pwn2Own, ki od letos od tekmovalcev ne zahteva več, da razkrijejo vse hrošče in...

12 komentarjev

Odkrita nova ranljivost v Chromu

Slashdot - Raziskovalci iz francoskega VUPEN-a so objavili, da so odkrili resno ranljivost v Googlovem brskalniku Chrome, ki omogoča zaobiti vse varnostne mehanizme (ASLR, DEP in Chromov peskovnik) ter tiho (to pomeni, da se brskalnik ne sesuje po izvršitvi) izrabiti neobjavljeno (0-day) ranljivost za izvedbo zlobne kode. Ranljivost učinkuje na vseh operacijskih sistemih Windows, ne glede na verzijo ali bitnost. Podrobnosti, razumljivo, javno niso razkrili.

Ranljivost obstoji tudi v najnovejši verziji brskalnika Chrome 11.0.696.65 na Windows 7 SP1. Njeno delovanje so prikazali v spodaj priloženem videoposnetku. Vidimo, da se po obisku posebej prilagojene spletne strani z oddaljene lokacije na računalnik prenese zunanja koda (konkretno Računalo)...

Preberi več »

37 komentarjev

Na letošnjem Pwn2Ownu rekordna nagrada za uspešen napad na Chrome

ComputerWorld - Vsakoletni hekerski dogodek, kjer hekerji in raziskovalci demonstrirajo svoje poznavanje brskalnikov in mobilnih telefonov ter varnostnih lukenj v njih, se bo letos v Vancouvru začel 9. marca. Za nekoliko več vznemirjenja kot ponavadi je poskrbel Google, ki je razpisal doslej najvišjo nagrado 20.000 dolarjev za kogarkoli, ki bi našel in uspešno zlorabil kakšno ranljivost v njihovem brskalniku Chrome.

Na letošnjem Pwn2Ownu bosta okolje 64-bitna operacijska sistema Windows 7 in Mac OS X, na katerih bodo tekli Internet Explorer, Firefox, Safari in Chrome. Prvi, ki bodo zlomili prve tri brskalnike, bodo prejeli 15.000 dolarjev, kar je 50 odstotkov več kot lani, medtem ko so za Chrome nekoliko drugačna pravila.

Ker Chrome...

Preberi več »

5 komentarjev

Google po enem letu podelil najvišjo nagrado za lovce na hrošče v Chromu

vir: Google
Google - Po enem letu od začetka nagrajevanja prijavljenih lukenj v brskalniku Chrome je Google presodil, da si prvi prijavitelj zasluži najvišjo nagrado v višini 3133,7 dolarjev (za manjše ranljivosti se dobi 500, 1000 ali 1337 dolarjev). Sergey Glazunov prejme za svoje neutrudno lovljenje hroščev 3133,7 dolarjev in še osnovno nagrado v višini 1337 dolarjev ter trikrat po 1000 dolarjev. Ni slabo.

Glazunov je našel eno kritično ranljivost in štiri ranljivosti, ki so označene kot zelo pomembne. Skupno je Google v novi podverziji Chroma 8.0.552.237 popravil 13 pomembnih ranljivosti, kar jih je stalo približno 14 tisoč...

Preberi več »

19 komentarjev

MacBook Air prvi padel

Slashdot - Na konferenci CanSecWest, ki trenutno poteka v Vancouvru, so priredili tekmovanje v vdiranju v sisteme, imenovano PWN 2 OWN. Tekmovalci se borijo proti trem prenosnikom (Vaio VGN-TZ37CN, Fujitsu U810 in MacBook Air), na katerih tečejo trije konkurenčni operacijski sistemi (Ubuntu 7.10, Vista Ultimate SP1 ter OS X 10.5.2).

V okviru prvega dne tekmovanja so lahko sisteme za nagrado 20.000 dolarjev napadali samo preko omrežja, kar ni prineslo večjih uspehov. Včeraj je bila nagrada razpolovljena, zato pa so dobili tekmovalci možnost, da se na računalniku odpre predpripravljena spletna stran ali elektronsko sporočilo. To je tekmovalcem prineslo dosti več možnosti, kar je dokazal Charlie Miller, ki je že v dveh minutah po začetku tekmovanja uspel prevzeti nadzor nad MacBookom Air.

Kako je to Millerju uspelo, zaenkrat ni znano, ker se morajo tekmovalci zavezati, da podatkov ne bodo izdali, dokler jih organizator ne pošlje avtorjem sistema in ti dobijo možnost za popravek. Glede na to,...

Preberi več »

124 komentarjev

Vista varnejša kot MacOS X?

OSNews - Približno dva tedna nazaj se je odvijala varnostna konferenca pod okriljem CanSecWesta. Tam se je zbralo kar nekaj hekerjev, katerih naloga je bila vdreti v sistem Mac OS X z vsemi popravki ter brez dodatnih varnostnih nastavitev. Prvi dan je bil neuspešen, naslednji dan pa so prišli v igro tudi brskalniki. Zmagovalec Dino Dai Zovi, ki je izkoristil luknjo v Safariju, da je dobil dostop do ukazne vrstice, je domov odnesel 10.000 ameriških dolarjev.

Pred kratkim so tako na MacWorldu objavili intervju z zmagovalcem, ki se precej ukvarja z varnostjo v Mac OS-u in je pred kratkim napisal knjigo z naslovom The Art of Software Security Testing: Identifying Software Security Flaws. V intervjuju razkriva nekaj podrobnosti o samem tekmovanju in tudi obrazloži svoje mnenje o varnosti v Applovem operacijskem sistemu. Največ pritožb pa je gotovo vzpodbudila njegova izjava, da če primerja OS X 10.4 in Visto, ima Vista vsaj s stališča varnosti kvalitetnejše napisano kodo z manj varnostnimi...

Preberi več »

75 komentarjev