»

Letos na Pwn2Own tarča tudi avtomobil Tesla

Slo-Tech - Na letošnji izvedbi tekmovanja Pwn2Own, ki vsako leto poteka ob robu konference CanSecWest v Vancouvru, bodo prvikrat hekali tudi avtomobile. Na tekmovanju z 12-letno tradicijo so se doslej v glavnem osredotočali na operacijske sisteme, brskalnike, pametne telefone in podobno, letos pa bodo prvikrat tarče tudi pametni avtomobili. Tesla Model 3 bo tarča, ki ponuja 250.000 dolarjev nagrade za tistega, ki bo uspel na njegovem vozlišču (gateway), avtopilotu ali VCSEC (Vehicle Control Security) izvesti nepooblaščeno kodo. Na osrednje vozlišče se povezujejo vsi bistveni deli vozila, denimo prenos, šasija in podobno. Avtopilot je v resnici asistenčni sistem, VCSEC pa povezuje varnostne sisteme. Za celotno Teslo znaša nagradni...

5 komentarjev

Okrogel in rekorden Pwn2Own se bo lotil tudi Apacheja

Trend Micro - Letos bo hekersko tekmovanje Pwn2Own, ki ob boku konferenci CanSecWest vsako leto poteka v Vancouvru, praznovalo 10. obletnico. Zaradi tega so prireditelji nabral še posebej velik kupček denarja in razpisali nekatere discipline, ki jih na tekmovanju še ni bilo. Lotili se bodo tudi Apacheja. Skupni nagradni sklad presega milijon dolarjev, kar je več kot dvakratnik lanskega.

Letošnji Pwn2Own bo potekal med 15. in 17. marcem v Vancouvru. Tekmovanje bo potekalo v petih kategorijah: pobeg iz navideznega stroja (VM Workstation in Microsoft Hyper-V), brskalniki in vtičniki (Edge, Chrome, Firefox, Safari, Flash v Edgeu), lokalna eskalacija privilegijev (Windows 10, Apple MacOS, Ubuntu), poslovna okolja (Adobe Reader, Word,...

1 komentar

Masaker programske opreme na letošnjem Pwn2Ownu

Slo-Tech - Na letošnjem hekerskem tekmovanju Pwn2Own, ki se je odvijalo minula dva dni v Vancouvru, so razdelili 460.000 dolarjev nagrad tekmovalcem, ki so odkrili 21 novih ranljivosti v operacijskih sistemih Windows in OS X, v brskalnikih Safari, Edge in Chrome ter v Flashu. Firefox letos sploh ni bil na seznamu, ker se ocenili, da ima toliko lukenj, da njegovo lomljenje sploh ne bi bilo zanimivo.

Potem ko je bil Pwn2Own nekaj časa pod vprašajem, saj je prireditelja Tipping Point od Hewlett-Packarda odkupil Trend Micro, so tekmovanje ohranili in nekoliko modernizirali. Poleg klasičnih tarč in nagrad so uvedli tudi rubriko Master of Pwn, ki je služila kot nekakšen skupni seštevek za vse, ki so tekmovali v več kategorijah.

Na mizi je bilo 65.000 dolarjev za vdor v Chrome, prav toliko za...

35 komentarjev

Mozilla podelila nagrade v podporo odprte kode

Mozilla.org - Mozilla je podelila prve nagrade v okviru oktobra najavljenega programa Foundational Technology, ki jih prejmejo projekti, na katerih Mozilla temelji oziroma jih močno uporablja. S tem želijo nekaj vrniti odprtokodni skupnosti, iz katere črpajo, hkrati pa projektom dati vzpodbudo za nadaljnje delo in finance za izboljšanje varnosti. To pot si je sedem prejemnikov razdelilo pol milijona dolarjev.

Največji kos je domov odnesel projekt Bro, ki vzdržuje programsko opremo za nadzor mreže in predstavlja glavni del Mozillinega sistema za nadzor vdorov v omrežje. Bro bo prejetih 200.000 dolarjev porabil za postavitev javnega repozitorja za module in dodatke za Bro. Projekt Django je prejel 150.000 dolarjev, ki jih bodo porabili za spremembe jedrne kode (Channels), da...

5 komentarjev

Chrome z milijardo uporabnikov, namizni vladar pa ostaja Internet Explorer

Slo-Tech - Pred dobrim desetletjem so nepoučeni uporabniki menili, da je Internet Explorer internet. Od tedaj se je mnogo spremenilo in čeprav je IE še vedno najpogosteje uporabljen internetni brskalnik, se prav lahko zgodi, da bo kmalu veljalo, da Google je internet. V Googlu so se pravkar pohvalili, da ima Chrome že milijardo uporabnikov.

Chrome je imel še lani 600 milijonov uporabnikov, v 12 mesecih pa je to število povečal za 400 milijonov novih uporabnikov. Na mobilnem področju gre zlasti za rast števila androidnih telefonov, na namiznih računalnikih pa je Chrome speljal veliko uporabnikov Firefoxa, medtem ko IE-jev delež vztraja.

Google se je na konferenci I/O 2015, ki je bila sicer namenjena predstavitvi novih izdelkov in storitev, pohvalil s številko milijardo, ki so...

124 komentarjev

Drugi dan Pwn2Own 2015 stoodstoten uspeh

Slo-Tech - V petek je bil v Vancouvru drugi dan tekmovanja Pwn2Own in tudi to pot so tekmovalci vdrli v vse izdelke na preizkušnji. Junak dneva je bil Jung Hoon Lee, ki je pod vzdevkom lokihardt zlomil zadnjo stabilno in najnovejšo beta verzijo brskalnika Chrome. Prek brskalnika mu je uspelo priti do dveh gonilnikov v jedru Windows, kar mu je omogočilo prevzem popolnega nadzora nad sistemom. V dveh minutah je dobil 110.000 dolarjev, kar je najvišja nagrada v zgodovini Pwn2Own. Seveda pa je treba vedeti, da trajajo priprave na tekmovanje več mesecev in da tekmovalci tja pridejo z že izdelanimi kosi kode za njim poznane ranljivosti, tako da si je ta znesek v resnici prislužil z večmesečnim delom (in večletnim izobraževanjem).

Že pred tem je Lee...

4 komentarji

Prvi dan Pwn2Own padle vse tarče

threatpost - Danes se je v sklopu konference CanSecWest v Vancouvru začelo vsakoletno tekmovanje v vdiranju v brskalnike in operacijske sisteme Pwn2Own. Prvi dan so si tekmovalci prislužili 317.500 dolarjev, ko so zlomili Adobe Reader in Flash, Windows, Internet Explorer 11 in Firefox. Jutri bo na sporedu drugi dan tekmovanja.

Najprej sta ekipi Team509 in KeenTeam razbili Adobe Flash. KeenTeam je Flash razbila že tudi lani. Obe sta letos izrabili isto ranljivost, in sicer sta s prekoračitvijo kopice (heap overflow) izvedli nepooblaščeno kodo ter z eskalacijo privilegijev pridobili dostop do jedra Windows. Prejeli sta 85.000 dolarjev (60.000 za Flash in 25.000 za Windows). Nicolas Joly, ki je svoj čas delal za VUPEN, je prav tako uspešno zlomil...

34 komentarjev

Po drugem dnevu na Pwn2Own vzdržal le Windows Phone

Slo-Tech - Drugi dan tekmovanja v vdiranju v prenosne telefone Mobile Pwn2Own, ki je potekalo v japonskem Tokiu, sta bila na tnalu telefona z Windows Phone in Androidom. Izkušena tekmovalca sta bila to pot manj uspešna, kot je bila konkurenca prvi dan. Tedaj so padli vsi telefoni, sedaj pa je bil vdor le delen.

Nico Joly, ki ga poznamo kot člana varnostne skupine VUPEN iz Francije, katera vsako leto tekmuje na tekmovanjih Pwn2Own, se je lotil Nokiine Lumie 1520, ki jo poganja Windows Phone. Vsi uspešni napadalci so poleg naprave, ki so jo uspeli nadvladati, domov odnesli še od 50.000-75.000 dolarjev; najvišjih nagrad za vdor prek sporočil ali...

14 komentarjev

Na letošnjem Pwn2Own največkrat zlomljen Firefox

Slo-Tech - Prejšnji teden je v Vancouvru potekala konferenca CanSecWest, v okviru katere vsako leto teče tekmovanje v vdiranju Pwn2Own. Razdelili so 850.000 dolarjev nagrad za 12 uspešnih napadov na komercialno programsko opremo. Največkrat je padel Firefox.

Prvi dan tekmovanja je pet ekip demonstriralo pet uspešnih napadov. Jüri Aedla je uspešno napadel Firefox (izvajanje kode zaradi pisanja in branja izven mej, out-of-bound read/write), Mariusz Mlynski je zoper Firefox izkoristil kar dve ranljivosti, in sicer eno za eskalacijo privilegijev in drugo za obvoz vgrajenih varnostnih mehanizmov. Francoska ekipa VUPEN, ki je tradicionalno med najmočnejšimi, je pokazala kar štiri ranljivosti. Zlomili so Adobe Flash, Adobe Reader, Microsoft Internet...

20 komentarjev

Ranljivost v Chromu omogoča prisluškovanje uporabniku prek mikrofona

Slo-Tech - Raziskovalec iz Tel Aviva je javno razkril ranljivost v Chromu, ki omogoča dobesedno prisluškovanje uporabniku. Zlonamerna spletna stran lahko uporabnika pretenta v odobritev uporabe vgrajenega mikrofona v računalniku, ki ga potem posluša, vse dokler uporabnik ne zapre brskalnika, četudi je stran vmes zapustil. Google napake v štirih mesecih, odkar ve zanjo, še ni odpravil.

Prepoznavanje govora je uporabna funkcija, ki jo Google ponuja celo na svoji glavni strani kot glasovno iskanje. Če ima računalnik delujoč mikrofon in zadnjo verzijo Chroma, lahko Chrome govorjeno besedilo posreduje na Googlove strežnike, ki so izjemno zmogljivi in so hkrati prežvečili že ogromno govorjenega besedila, zato se običajno dobro znajdejo z vsakim...

35 komentarjev

Tudi Microsoft bo plačeval za najdene ranljivosti

ZDNet - Microsoft se pridružuje čedalje večji skupini podjetij (najbolj znana so Google, Mozilla in Facebook), ki nagrajujejo ranljivosti, ki jih uporabniki oziroma raziskovalci odkrijejo v njihovih izdelkih. Doslej so to počeli le v okviru programa BlueHat, ki je potekal kot tekmovanje, ko so razdelili tudi do četrt milijona dolarjev. Sedaj pa prihaja stalni natečaj.

Kot pojasnjujejo v Redmondu, so včasih ljudje z odkritimi ranljivostmi prihajali neposredno k njim. Sčasoma je to izzvenelo, zato želijo to početje znova obuditi. Zanimivo pa je, da bo Microsoftov program vključeval tudi beta verzije izdelkov, kar je novost. Recimo Internet Explorer 11, ki pride v beta inačici z Windows 8.1 (Blue), bo že tak primer. Microsoft pravi, da drugod raziskovalci niso motivirani, da bi...

13 komentarjev

Drugi dan Pwn2Own 2013 padla še Flash in Adobe Reader, preživel le Safari

Slo-Tech - Končalo se je letošnje hekersko tekmovanje Pwn2Own, ki je od srede do danes potekalo v Vancouvru ob boku konference CanSecWest. O rezultatih prvega dne smo že pisali in nič manj zanimivo ni bilo v nadaljevanju. Na kratko torej povzemimo rezultate.

Prvi dan so padli IE10, Chrome, Firefox in Java. Drugi dan tekmovanja so bili na tapeti še ostale tarče. Francoski VUPEN je uspel zlomiti Flash, George Hotz, ki ga poznamo pod vzdevkom geohot in je zraven, ko pišemo o jailbreakih iOS-a in hekanju PlayStationa, pa je uspešno zlomil Adobe Reader. Na koncu je Ben Murphy zlomil še Javo, ki je v dveh dneh torej padla štirikrat in potrdil svoj sloves najbolj luknjičastega vtičnika. To pomeni, da so razdelili 480.000 dolarjev nagrad. Edina nepodeljena nagrada je ostala v kategoriji Safari, ki se ga nihče ni niti...

13 komentarjev

Prvi dan Pwn2Own 2013 zlomljeni Chrome, Firefox, IE10 in Java

ComputerWorld - V Vancouvru poteka že sedmi Pwn2Own, kakor se imenuje vsakoletno tekmovanje v iskanju ranljivosti in njihovi uporabi za vdor v priljubljene operacijske sisteme, brskalnike in mobilne naprave. Letos se ponovno vrača Google, ki je lani sponzorstvo odpovedal, ker spremenjena pravila niso zahtevala razkritja uporabljenih ranljivosti proizvajalcu. Letos je spet vse po starem, saj morajo tekmovalci razkriti vse detajle o ranljivosti, da si prislužijo nagrado (tehnično gledano jim ZDI ranljivost odkupi). Nagradni sklad ni skromen in znaša dobrega pol milijona dolarjev.

Prvi dan tekmovanja so že padle največje zvezde. Francosko podjetje VUPEN, ki je vodilno v iskanju in žal tudi trgovanju...

13 komentarjev

Internet Explorer 10 prispel na Windows 7

vir: CNET
CNET - Končna verzija Microsoftovega najnovejšega brskalnika Internet Explorer 10 je sicer izšla že lani jeseni, a je bila omejena na najnovejša Windows Server 2012 ter Windows 8. V Redmondu pa so že pred izidom najavili, da bo Internet Explorer 10 na voljo tudi za Windows 7 (za starejše izdaje pa ne). Danes so izpolnili obljubo, saj so po več mesecih pacanja beta in predoglednih verzij izdali Internet Explorer 10 za Windows 7. To je pomemben mejnik, saj Windows 7 (in tudi Windows Server 2008 R2, če smo natančni) s tem dobiva moderen brskalnik.

Internet Explorer 10 namreč ni le lepotna nadgradnja Internet Explorerja 9, temveč prinaša številne pomembne novosti. Je stabilnejši, hitrejši in predvsem podpira večje število standardov. Tako Windows 7 z IE10...

64 komentarjev

Letošnji Pwn2Own z višjimi nagradami in povratkom Googla

Lanski zmagovalci so bili iz francoskega VUPEN-a

vir: ComputerWorld
ComputerWorld - Vsakoletno tekmovanje hekerjev Pwn2Own, kjer se v Vancouvru zberejo najboljši iskalci ranljivosti ter napadajo priljubljene brskalnike in operacijske sisteme, bo letos nagradni sklad dvignilo za petkrat, so sporočili prireditelji. Pwn2Own bo letos potekal od 6. do 8. marca na konferenci CanSecWest v Vancouvru pod pokroviteljstvom HP TippingPointa. Nagradni sklad se je dvignil na 560.000 dolarjev.

Glavna nagrada v višini 100.000 gre tistemu, ki bo prvi kompromitiral Chrome na Windows 7 ali Internet Explorer 10 na Windows 8. Uspešen napad na IE9 bo vreden 75.000 dolarjev, Flash in Adobe Reader vsak po 70.000 dolarjev, Safari 65.000 dolarjev, Firefox 60.000 dolarjev in Java 20.000...

10 komentarjev

Internet Explorer 9 padel v Pwn2Own

ZDNet - Naslednji brskalnik, ki je padel na letošnjem hekerskem tekmovanju Pwn2Own v kanadskem Vancouvru, je Internet Explorer. Po tem ko je francoska skupina VUPEN takoj po začetku tekmovanja razsula Googlov Chrome (Chrome sicer letos tehnično ni del uradnega Pwn2Own, a to ni pomembno), so sedaj uspešno kompromitirali še računalnik s sveže nameščenim Windows 7 SP1 in Internet Explorerjem 9 z vsemi popravki.

Chaouki Bekrar iz VUPEN-a pojasnjuje, da so uporabili zelo staro ranljivost, povezano s prekoračitvijo kopice (heap overflow), s čimer so obšli DEP in ASLR, in nepovezano ranljivost v upravljanju s pomnilniškim prostorom. Luknja se je prvikrat pojavila že v Internet Explorerju 6 in do danes ni bila javno razkrita, tako da...

49 komentarjev

Google skupno ponuja milijon dolarjev za ranljivosti v Chromu

Google bo delil tudi chromebooke

vir: Chromium Blog
Chromium Blog - Približuje se letošnji dogodek CanSecWest, ki vsako leto marca poteka v kanadskem Vancouvru in v okviru katerega se odvije tudi hekersko tekmovanje Pwn2Own. Na njem se pomerijo ekipe strokovnjakov iz celega sveta in poizkusijo izkoristiti ranljivosti v brskalnikih in mobilnih telefonih, zmagovalci pa so bogato nagrajeni. Letošnji CanSecWest se bo začel danes teden in bo trajal tri dni. Program bo podoben kot lani, le da se je Google odločil, da ne bo več sodeloval, ampak bo razpisal lastno tekmovanje.

Razlog je sprememba pravil na Pwn2Own, ki od letos od tekmovalcev ne zahteva več, da razkrijejo vse hrošče in...

12 komentarjev

Na letošnjem Pwn2Ownu rekordna nagrada za uspešen napad na Chrome

ComputerWorld - Vsakoletni hekerski dogodek, kjer hekerji in raziskovalci demonstrirajo svoje poznavanje brskalnikov in mobilnih telefonov ter varnostnih lukenj v njih, se bo letos v Vancouvru začel 9. marca. Za nekoliko več vznemirjenja kot ponavadi je poskrbel Google, ki je razpisal doslej najvišjo nagrado 20.000 dolarjev za kogarkoli, ki bi našel in uspešno zlorabil kakšno ranljivost v njihovem brskalniku Chrome.

Na letošnjem Pwn2Ownu bosta okolje 64-bitna operacijska sistema Windows 7 in Mac OS X, na katerih bodo tekli Internet Explorer, Firefox, Safari in Chrome. Prvi, ki bodo zlomili prve tri brskalnike, bodo prejeli 15.000 dolarjev, kar je 50 odstotkov več kot lani, medtem ko so za Chrome nekoliko drugačna pravila.

Ker Chrome...

5 komentarjev

Hekersko tekmovanje Pwn2Own se začenja

ComputerWorld - Včeraj se je v Vancouvru začelo vsakoletno tekmovanje Pwn2Own, ki ga organizira TippingPoint Zero Day Initiative (ZDI) in kjer se merijo hekerji pri razbijanju različnih aplikacij in platform. Pravila so enostavna - kdor dobi dostop do sistema, dobi še lepo denarno nagrado; skupni fond je vreden 100.000 dolarjev. Tekmovanje traja do petka.

Včeraj so bili na tapeti Internet Explorer 8, Firefox 3 in Chrome 4 na Windows 7 ter Safari 4 na MacOS Snow Leopardu, medtem ko danes napadajo brskalnike IE7, Firefox 3 in Chrome 4 na Visti ter Safari 4 na Snow Leopardu, jutri pa jih bodo še na Windows XP (oz. Safari na Snow Leopardu). Vsak ranjeni brskalnik zmagovalcu prinese 10 tisoč dolarjev.

Poleg brskalnikov na vdor čaka še kopica mobilnih...

36 komentarjev

MacBook Air prvi padel

Slashdot - Na konferenci CanSecWest, ki trenutno poteka v Vancouvru, so priredili tekmovanje v vdiranju v sisteme, imenovano PWN 2 OWN. Tekmovalci se borijo proti trem prenosnikom (Vaio VGN-TZ37CN, Fujitsu U810 in MacBook Air), na katerih tečejo trije konkurenčni operacijski sistemi (Ubuntu 7.10, Vista Ultimate SP1 ter OS X 10.5.2).

V okviru prvega dne tekmovanja so lahko sisteme za nagrado 20.000 dolarjev napadali samo preko omrežja, kar ni prineslo večjih uspehov. Včeraj je bila nagrada razpolovljena, zato pa so dobili tekmovalci možnost, da se na računalniku odpre predpripravljena spletna stran ali elektronsko sporočilo. To je tekmovalcem prineslo dosti več možnosti, kar je dokazal Charlie Miller, ki je že v dveh minutah po začetku tekmovanja uspel prevzeti nadzor nad MacBookom Air.

Kako je to Millerju uspelo, zaenkrat ni znano, ker se morajo tekmovalci zavezati, da podatkov ne bodo izdali, dokler jih organizator ne pošlje avtorjem sistema in ti dobijo možnost za popravek. Glede na to,...

124 komentarjev