Ubuntu en Windows 11 tien keer onderuit tijdens hackwedstrijd Pwn2Own

[Captain Kirk]

Onderzoekers zijn er tijdens de jaarlijkse hackwedstrijd Pwn2Own Vancouver tien keer in geslaagd om succesvolle aanvallen tegen Ubuntu Desktop en Windows 11 uit te voeren. De gebruikte kwetsbaarheden zijn aan beide leveranciers gemeld, zodat die beveiligingsupdates kunnen ontwikkelen. Details over de beveiligingslekken zijn nog niet openbaar gemaakt.

Tijdens Pwn2Own worden onderzoekers beloond voor het demonstreren van onbekende kwetsbaarheden in veelgebruikte software, zoals browsers, virtualisatiesoftware, kantoorsoftware, serversoftware en communicatiesoftware. Ook konden onderzoekers grote bedragen verdienen met aanvallen tegen een Tesla Model 3. De resultaten vielen dit jaar wat tegen in vergelijking met voorgaande jaren.

Zo werden er in de browsercategorie alleen succesvolle aanvallen tegen Firefox en Safari gedemonstreerd en bestond de grootste "hack" uit een aanval op Microsoft Teams waarmee systemen zijn over te nemen. De meeste kwetsbaarheden die onderzoekers lieten zien zijn aanwezig in Ubuntu Desktop en Windows 11. Het gaat hierbij om "elevation of privilege", waardoor een aanvaller die al toegang tot een systeem zijn rechten kan verhogen.

Doordat een aanvaller al toegang tot het systeem moet hebben is de impact van dergelijke aanvallen kleiner en leverden onderzoekers dan ook minder op. Voor een succesvolle aanval, waarbij een lek in de kernel moest worden gebruikt, werd 40.000 dollar betaald. Zes keer moest Windows 11 eraan geloven en vier keer was het raak bij Ubuntu Desktop. In totaal demonstreerden onderzoekers tijdens Pwn2Own Vancouver 25 onbekende kwetsbaarheden, wat goed was voor een prijzengeld van 1,1 miljoen dollar. De aanval op Microsoft Teams leverde met 150.000 dollar het meeste op. Leveranciers van de kwetsbare producten hebben negentig dagen de tijd gekregen om met patches te komen. Na deze deadline worden de details openbaar gemaakt.

 

bron: https://www.security.nl