Pwn2own : Jackpot pour le piratage complet d'une VM VMware

Comme chaque année se déroule à Vancouver au Canada le concours Pwn2own. Plusieurs équipes de hackers essayent de pirater les navigateurs comme IE, Safari ou Edge ou les systèmes d'exploitation, comme Windows ou Mac OS. Les plus talentueux sont récompensés en fonction de leurs techniques. En 2016, les organisateurs ont introduit un nouveau défi aux spécialistes : le piratage complet d'une machine virtuelle (VM escape). Personne l'année dernière n'était parvenu à le réaliser.

L'édition 2017 change la donne avec l'équipe de Qihoo 360, composée d'experts chinois. Ils ont effet réussi un exploit rare. Jugez plutôt. En premier lieu, ils ont mis à mal la sécurité du navigateur Edge dans Windows 10 pour ensuite plier la machine virtuelle dans VMware Wokstation. Dans l'ordre, ils ont utilisé un débordement de tas dans Edge, une faille de confusion dans le kernel de Windows et enfin un bug de tampon dans la solution VMware.

105 000 dollars à la clé

Zengh Zengh, directeur exécutif de Qihoo 360, a indiqué : « Nous avons utilisé un bug de moteur JavaScript dans Microsoft Edge pour exécuter du code à l'intérieur de la sandbox du navigateur, puis une faille du noyau de Windows 10 pour l'extraire et compromettre pleinement la machine virtuelle ».  Il ajoute : « Ensuite, nous avons exploité une vulnérabilité de simulation matérielle dans VMware pour compromettre le système hôte depuis l'instance virtuelle. Tout a commencé à partir, et seulement, d'un site sous contrôle. » Fort de cet exploit, l'équipe de Qihoo 360 a obtenu une récompense record de 105 000 dollars pour un seul piratage.

Sur l'ensemble des sessions du Pwn2own, les hackers ont glané plus de 830 000 dollars de récompenses. Lors des deux premiers jours, les équipes ont réglé leurs comptes à Adobe Flash, Mozilla Firefox, mac OS, Safari, Google Chrome et Ubuntu Linux. Le maître mot est toujours de dire que quel que soit la technologie, il y a des failles.

A lire aussi :

SAP corrige une faille critique de Hana, donnant un accès total aux données

Une faille zero day sur les serveurs Apache massivement exploitée

Photo credit: Frank Lindecke via Visual Hunt /  CC BY-ND