Meskipun update di menit terakhir dari Apple, Safari adalah yang pertama akan lekang oleh peneliti keamanan pada hari pertama dari
kontes hacking Pwn2Own.
Sebuah tim peneliti keamanan dari perusahaan uji penetrasi Perancis VUPEN berhasil dieksploitasi cacat zero-day di browser Apple Safari untuk memenangkan tantangan Pwn2Own pada Mar 9. Peneliti keamanan bergantian mencoba untuk berkompromi versi paling up-to-date dari Microsoft Internet Explorer, Apple Safari, Mozilla Firefox dan Google Chrome pada hari pertama dari kontes hacking di CanSecWest di Vancouver, Kanada.
VUPEN meretakan Safari di "5 detik," mengklaim beberapa pesan di Twitter dari peserta.
Sebaliknya, dua kontestan yang mendaftar untuk hack
Google Chrome tak ada hasilnya. Chrome bertahan satu hari dan Google mendapatkan
hadiah $ 20.000 untuk kembali ke perusahaan .
VUPEN pendiri Chaouki Bekrar menggunakan kelemahan situs Web khusus yang dikompromikan sebuah versi 64-bit dari Mac OS X ditambal sepenuhnya berjalan di MacBook. Team tiga orang menghabiskan waktu sekitar dua minggu untuk menemukan kerentanan dalam WebKit, the-browser open source rendering engine Safari dan untuk menulis mengeksploitasi, Bekrar mengatakan
ZDNet's Ryan Naraine , yang berada di kontes.
Untuk Internet Explorer bagian dari kontes, hadiah pergi ke Stephen peneliti keamanan Irlandia, menurut
Naraine . Dia berhasil meng-hack ke dalam bit Windows 7 mesin-64 menjalankan Internet Explorer 8 menggunakan tiga kerentanan yang berbeda dan eksploitasi kustom. Menggunakan dua bug yang berbeda di IE bahwa ia ditemukan sebelumnya untuk mendapatkan eksekusi kode yang dapat diandalkan, dan kemudian dieksploitasi kerentanan ketiga yang memungkinkan dia untuk melompat keluar dari sandbox Protected Mode IE untuk sampai ke sistem operasi.
Seperti VUPEN, serangan lebih sedikit juga berhasil dilewati DEP dan ASLR pada Windows 7.
VUPEN adalah kontestan pertama yang mencoba retak Safari. Ada tiga peneliti lain, termasuk pemenang sebelumnya tiga kali Charlie Miller, tetapi di bawah pemenang kontes-mengambil-semua aturan, kompetisi sudah berakhir secepat VUPEN berhasil. VUPEN juga mendaftar untuk menguji Internet Explorer. Tapi sudah ada perserta yang berhasil.
Satu kontestan dijadwalkan untuk Maret 10, hari kedua kontes, untuk mencoba Mozilla Firefox, sebelum bagian platform mobile kontes dimulai, menurut juru bicara dari TippingPoint ZDI, sponsor kontes. Kontestan akan mulai dengan Apple iPhone, diikuti oleh RIM BlackBerry, Samsung Nexus S dan kemudian Android, dan Dell Tempat Pro menjalankan Windows 7.
Apple merilis update di menit terakhir yang ditambal sejumlah kerentanan dalam Safari dan IOS, namun tampak bahwa target iPhone tidak akan berjalan IOS 4,3, mengatakan
Keamanan Generasi di Twitter. Hal ini tidak jelas saat ini apakah VUPEN membahayakan Apple Safari 5.0.4.
Memenangkan hadiah uang tunai $ 15.000, laptop Sony Vaio menjalankan Windows 7 untuk menjadi yang pertama dari tiga peneliti untuk hack browser Windows. VUPEN mengklaim hadiah uang tunai $ 15.000, dan Apple 13-inch MacBook Air menjalankan Mac OS X Snow Leopard untuk retak Safari.
Rincian teknis dari eksploitasi secara hukum milik TippingPoint didalam peraturan kontes. TippingPoint akan memberikan informasi ke Microsoft dan Apple dan memberi mereka enam bulan untuk memperbaiki kelemahan sebelum publikasi mereka.
CanSecWest bukan hanya tentang hacking. Ada juga beberapa panel, seperti yang oleh sepasang peneliti keamanan dari Jerman ditunjukkan beberapa teknik yang memungkinkan mereka untuk hack jarak jauh, shutdown reboot dan sepenuhnya menonaktifkan ponsel populer dengan pesan SMS.
source
