Am Puls von Microsoft

Pwn2own: Qihoo 360 und Tencent knacken Microsoft Edge

Wie jedes Jahr fand auch 2017 wieder der renommierte Hacker-Kongress Pwn2own statt, zu dem diesmal die kanadische Stadt Vancouver als Gastgeber einlud. Ziel der Veranstaltung ist es, dass Hacker neue Sicherheitslücken in bekannter Software finden und damit im Bestfall ein System komplett übernehmen sollen. Sie erhalten bei einem erfolgreichen Hack ein Preisgeld, dessen Höhe an die jeweilige Schwere des Hacks geknüpft ist. Die neuen Zero-Day-Lücken werden dann an die jeweiligen Entwickler übergeben, damit diese auch zeitnah geschlossen werden.

Neben Windows war auch Microsoft Edge in diesem Jahr eines der beliebtesten Ziele. Anders als in den Vorjahren kam der Browser aus Redmond aber nicht ungeschoren davon. An den ersten beiden Tagen gelang es einem Team des chinesischen Unternehmens Tencent bereits, den Browser gleich dreimal zu hacken. Den spektakulärsten Erfolg konnte aber das chinesische Unternehmen Qihoo 360 für sich verbuchen.

Drei-Lücken-Hack bringt $ 105.000,-
Zunächst nutzten die Chinesen einen schwerwiegenden Fehler in der JavaScript-Engine Chakra, um dort Code auszuführen. Anschließend brachen sie über einen Bug im Windows-Kernel aus der Sandbox von Microsoft Edge aus und nutzten schließlich eine Schwachstelle in der Hardwaresimulation der VMWare Workstation, um vom Gast- auf das Hostsystem überzugreifen und es zu übernehmen. Alle drei Lücken waren bisher komplett unbekannt, entsprechend viel Lob konnte sich das Team beim Veranstalter, der Zero Day Initiative, abholen.

Beim Fehler in de JavaScript-Engine Chakra handelt es sich um einen sog. Heap Overflow. Dabei handelt es sich um eine Sonderform des Buffer Overflows (z.dt. Pufferüberlauf), welcher wiederum zu den Speicherfehlern gehört. Solche Fehler machen typischerweise Sprachen wie C++ zu schaffen und gerade der Adobe Flash Player wird davon immer wieder gebeutelt. Interessanterweise weist dagegen die Programmiersprache Java, wo besonders das alte NPAPI-Plugin immer wieder Negativschlagzeilen machte, eine gewisse Resistenz durch ihr Design dagegen auf.

Lücken noch offen
Da Microsoft den letzten Patchday vor Pwn2own abgehalten hat, sollte klar sein, dass die Lücken in Windows und Microsoft Edge immer noch offen sind. Spätestens zum nächsten regulären Patchday sollten sie natürlich geschlossen werden, aber bis dahin sollten sich Nutzer keine allzu großen Sorgen machen. Der Proof of Concept, also der genaue Weg zum erfolgreichen Angriff, wird komplett an die Entwickler übergeben und bleibt bis zum Patch der jeweiligen Lücke unter Verschluss.

via Heise Security und Zero Day Initiative

Über den Autor

Kevin Kozuszek

Kevin Kozuszek

Seit 1999 bin ich Microsoft eng verbunden und habe in diesem Ökosystem meine digitale Heimat gefunden. Bei Dr. Windows halte ich euch seit November 2016 über alle Neuigkeiten auf dem Laufenden, die Microsoft bei seinen Open Source-Projekten und der Entwicklerplattform zu berichten hat. Regelmäßige News zu Mozilla und meinem digitalen Alltag sind auch dabei.

Anzeige