Beveiligingsonderzoekers hebben Microsoft Edge en Mozilla Firefox goed gehackt en een geldprijs van $ 270K verdiend tijdens het Pwn2Own-hackevenement.

De Firefox 66-browser werd aangekondigd op 19 maart, dus het bedrijf liet vriendelijke hackers het aanvallen om mogelijke beveiligingslekken te detecteren.

De onderzoekers identificeerden twee problemen in de webbrowser. De volgende dag besloot het bedrijf een patch uit te brengen om beide in Firefox 66.0.1-update op te lossen.

Degenen die Pwn2Own niet kennen, zijn in feite een jaarlijkse hackwedstrijd. Het biedt beveiligingsonderzoekers een geweldige kans om nieuwe zero-day bugs te demonstreren.

In ruil voor hun inspanningen beloont Trend Micro's Zero Day Initiative (ZDI) hen met een knappe hoeveelheid.

Het duo @fluoroacetate doet het opnieuw. Ze gebruikten een type verwarring in #Edge, een race-conditie in de kernel, en vervolgens een out-of-bounds schrijven in #VMware om vanuit een browser in een virtuele client code uit te voeren op het host-besturingssysteem. Ze verdienen $ 130K plus 13 Master of Pwn-punten. pic.twitter.com/mD13kozJLv

- Zero Day Initiative (@thezdi) 21 maart 2019

Pwn2Own Roundup

De onderzoekers die nieuwe kwetsbaarheden in Oracle VirtualBox, Apple Safari en VMware-werkstation hebben aangetoond, hebben op de eerste dag van Pwn2Own 2019 $ 240.000 gekregen.

Op weg naar de tweede dag, heeft ZDI een bedrag van $ 270.000 toegekend aan die onderzoekers die nieuwe bugs hebben geïdentificeerd in Microsoft's Edge en Mozilla Firefox-browser.

Dit is hoe onderzoekers Edge konden hacken:

Dat is alles wat nodig was om van een browser in een client voor een virtuele machine naar code op de onderliggende hypervisor te gaan. Ze begonnen met een type-verwarringprobleem in de Microsoft Edge-browser en gebruikten vervolgens een race-voorwaarde in de Windows-kernel gevolgd door een out-of-bounds schrijven in VMware-werkstation

Het belangrijkste is dat de kernelescalatiefout in Firefox 66 werd aangetoond door Richard Zhu en Amat Cama, officieel bekend als Fluoroacetate, ontving een prijs voor $ 50.000. Niklas Baumstark gebruikte een sandbox-escape-techniek om Firefox 66.0 te exploiteren en ontving een prijs van $ 40.000.

Al deze kwetsbaarheden zijn gerapporteerd aan Microsoft en Mozilla en de bedrijven werken aan de patches die naar verwachting in de volgende updates worden vrijgegeven.