Comme chaque année se déroule à Vancouver au Canada le concours Pwn2own. Plusieurs équipes de hackers essayent de pirater les navigateurs comme IE, Safari ou Edge ou les systèmes d’exploitation, comme Windows ou Mac OS. Les plus talentueux sont récompensés en fonction de leurs techniques. En 2016, les organisateurs ont introduit un nouveau défi aux spécialistes : le piratage complet d’une machine virtuelle (VM escape). Personne l’année dernière n’était parvenu à le réaliser.
L’édition 2017 change la donne avec l’équipe de Qihoo 360, composée d’experts chinois. Ils ont effet réussi un exploit rare. Jugez plutôt. En premier lieu, ils ont mis à mal la sécurité du navigateur Edge dans Windows 10 pour ensuite plier la machine virtuelle dans VMware Wokstation. Dans l’ordre, ils ont utilisé un débordement de tas dans Edge, une faille de confusion dans le kernel de Windows et enfin un bug de tampon dans la solution VMware.
Zengh Zengh, directeur exécutif de Qihoo 360, a indiqué : « Nous avons utilisé un bug de moteur JavaScript dans Microsoft Edge pour exécuter du code à l’intérieur de la sandbox du navigateur, puis une faille du noyau de Windows 10 pour l’extraire et compromettre pleinement la machine virtuelle ». Il ajoute : « Ensuite, nous avons exploité une vulnérabilité de simulation matérielle dans VMware pour compromettre le système hôte depuis l’instance virtuelle. Tout a commencé à partir, et seulement, d’un site sous contrôle. » Fort de cet exploit, l’équipe de Qihoo 360 a obtenu une récompense record de 105 000 dollars pour un seul piratage.
Sur l’ensemble des sessions du Pwn2own, les hackers ont glané plus de 830 000 dollars de récompenses. Lors des deux premiers jours, les équipes ont réglé leurs comptes à Adobe Flash, Mozilla Firefox, mac OS, Safari, Google Chrome et Ubuntu Linux. Le maître mot est toujours de dire que quel que soit la technologie, il y a des failles.
A lire aussi :
SAP corrige une faille critique de Hana, donnant un accès total aux données
Une faille zero day sur les serveurs Apache massivement exploitée
Respectivement DG et CTO de Red Hat France, Rémy Mandon et David Szegedi évoquent le…
Canonical formalise un service de conception de conteneurs minimalistes et y associe des engagements de…
L'Autorité de la concurrence s'apprêterait à inculper NVIDIA pour des pratiques anticoncurrentielles sur le marché…
Le CERT-FR revient sur les failles dans équipements de sécurité présents notamment en bordure de…
Mistral AI formalise ses travaux communs avec l'entreprise finlandaise Silo AI, qui publie elle aussi…
La présidente de Numeum, Véronique Torner, revient sur la genèse de la tribune du collectif…