Pwn2Own : tous les navigateurs sont encore tombés cette année

Pwn2Own : tous les navigateurs sont encore tombés cette année

Pour le plus grand bonheur (et gain financier) d'un chercheur coréen

47

Pwn2Own : tous les navigateurs sont encore tombés cette année

Le concours Pwn2Own permet chaque année de récompenser ceux qui parviennent à trouver, puis à exploiter des failles dans les navigateurs. Cette compétition permet aux éditeurs concernés d’accélérer également la découverte des brèches. Comme chaque année, l’édition 2015 n’a épargné personne : tous les navigateurs ont vu leurs défenses percées.

110 000 dollars pour une unique faille dans Chrome

Comme en 2014, tous les navigateurs sont donc tombés en fin de semaine dernière devant les assauts des hackers durant la compétition Pwn2Own. Le concours est examiné de près puisque les participants doivent utiliser une ou plusieurs failles et se débrouiller pour percer les défenses des logiciels. Or, impossible d’utiliser des failles « conventionnelles » puisque les systèmes servant aux tests ont tous les derniers patchs. Conséquence : les brèches utilisées sont inconnues des éditeurs et sont forcément de type 0-day. Notez que Flash et Reader, tous deux d’Adobe, font partie des cibles potentielles en tant que plugins très couramment utilisés.

On retrouvait donc Internet Explorer, Chrome, Firefox et Safari, tous disponibles dans leur dernière mouture. À l’exception de Safari, tous étaient accessibles sur une machine sous Windows 8.1, là encore avec tous les correctifs disponibles. Et tous sont tombés : aucun navigateur n’a pu se targuer d’avoir résisté au savoir-faire des concurrents, dont l’un s’est particulièrement démarqué. Jung Hoon Lee, chercheur coréen en sécurité (pseudonyme « lokihardt »), a ainsi remporté 110 000 dollars en quelques minutes seulement, alors qu’il travaillait seul. Un record.

Pour y parvenir, il a tout simplement exploité un dépassement de mémoire tampon dans Chrome, dans sa dernière révision stable aussi bien que dans sa plus récente bêta. La performance lui a permis d’amasser tout d’abord 75 000 dollars issus du concours proprement dit. Mais la méthode utilisée, qui s’est appuyée sur deux bugs dans le noyau Windows, lui a permis d’engranger également 25 000 dollars supplémentaires. Quant aux 10 000 dollars restants, ils ont été donnés directement par Google, dans le cadre de son Project Zero, pour avoir pu reproduire l’exploitation sur Chrome bêta.

Internet Explorer, Firefox, Safari, Flash, Reader : aucun n'a pu résister

Il ne lui a pas fallu plus de deux minutes pour réaliser sa technique, signe qu’elle avait été largement préparée en amont. HP, dont la Zero Day Initiative sponsorise le concours, note avec amusement que cette performance a permis à Lee d’engranger l’argent à la vitesse de « 916 dollars par seconde ». D’autant que cette somme a été complétée plus tard par 65 000 autres dollars, provenant cette fois de l’exploitation d’une faille TOCTOU (time-of-check to time-of-use) dans Internet Explorer 11 en 64 bits. Il a ainsi pu obtenir des privilèges de lecture/écriture dans le navigateur de Microsoft, en utilisant une faille JavaScript pour s’échapper de la sandbox, qui isole normalement le processus du reste du système.

Notez également que le même Jung Hoon Lee a percé les défenses de Safari sur Mac, lui octroyant 50 000 dollars supplémentaires, pour un total de 225 000 dollars durant la compétition. Il s’agit d’un record, car les sommes élevées sont d’ordinaire réservées à des équipes de plusieurs chercheurs et/ou hackers. Quand on sait que le concours Pwn2Own a versé cette année un total de 557 500 dollars pour 21 failles, on se rend mieux compte de la performance du chercheur coréen, qui totalise plus de 40 % des gains totaux.

Voici d’ailleurs la répartition des failles trouvées :

  • Windows : 5 failles
  • Internet Explorer 11 : 4 failles
  • Firefox : 3 failles
  • Adobe Reader : 3 failles
  • Adobe Flash : 3 failles
  • Safari : 2 failles
  • Chrome : 1 faille

Comme d'habitude, les résultats du concours seront suivis par des mises à jour rapprochées pour tous les navigateurs et produits concernés, Firefox ayant déjà reçu son correctif (mouture 36.0.4).

Commentaires (47)


“Pwn2Own : tous les navigateurs sont encore tombés cette année”&nbsp;&nbsp;Vous avez mis ce titre par rapport au crash d’hélico en argentine ??<img data-src=" />


<img data-src=" /><img data-src=" /><img data-src=" />


Impressionnante l’efficacité du chercheur coréen.



Après ces concours sont à double tranchant, ok ça permet de trouver les failles, mais il est évident que certains préparent et trouvent les failles avant, ne disent donc rien et attendent le concours pour les dévoiler.

(pour le gain)



==&gt; du coup on améliorer le délais, mais ça ne veut pas dire que la faille n’est pas connue avant, et donc exploitable avant. :/





M’enfin toute méthode de sécurisation reste bonne à prendre.


Balèze le type !


Pas de machine sous linux/BSD ?



Ont ils fait comme d’habitude, CAD s’attaquer à la machine qui leur plait le plus matériellement parlant ?








Ohmydog a écrit :



Balèze le type !





Sony et le FBI te diront que les Coréens sont balèzes en hacking <img data-src=" />



Merci à ces chercheurs de dénicher les failles, et merci aux éditeurs de les corriger rapidement. Tout cela est bénéfique pour la sécurité des utilisateurs <img data-src=" />








Burn2 a écrit :



Impressionnante l’efficacité du chercheur coréen.



Après ces concours sont à double tranchant, ok ça permet de trouver les failles, mais il est évident que certains préparent et trouvent les failles avant, ne disent donc rien et attendent le concours pour les dévoiler.

(pour le gain)



==&gt; du coup on améliorer le délais, mais ça ne veut pas dire que la faille n’est pas connue avant, et donc exploitable avant. :/





M’enfin toute méthode de sécurisation reste bonne à prendre.





Et encore je préfère ça que les gens qui découvrent une faille, ne disent rien et l’exploitent pour eux même.

Et puis découvrir une faille et ne rien dire jusqu’au concours est aussi à double tranchant, car la faille pourra être patché pour le concours…









Mimoza a écrit :



Pas de machine sous linux/BSD ?



Ont ils fait comme d’habitude, CAD s’attaquer à la machine qui leur plait le plus matériellement parlant ?





<img data-src=" />



OS : Windows 8.1 ou Mac OS ==&gt; des systèmes les plus courants et représentatifs du parc actuel de PC.



Ceci dit, ça pourrait être intéressant de commencer à intégrer les smartphones dans ce genre de concours (à moins que ce ne soit déjà le cas ?)








linkin623 a écrit :



<img data-src=" />



OS : Windows 8.1 ou Mac OS ==&gt; des systèmes les plus courants et représentatifs du parc actuel de PC.







Dans les première éditions les machines les mieux doté en matériel tombait le plus rapidement non pas parcequ’elles étaient plus facile a percé mais que les attaquants la préférait aux autres <img data-src=" />









Strimy a écrit :



Ceci dit, ça pourrait être intéressant de commencer à intégrer les smartphones dans ce genre de concours (à moins que ce ne soit déjà le cas ?)







Il y a une version smartphone de ce concours.



Le souci avec les smartphones, dans ce cas, c’est la MàJ… Ou plutôt l’absence de MàJ.

<img data-src=" />

&nbsp;








linkin623 a écrit :



<img data-src=" />



OS : Windows 8.1 ou Mac OS ==&gt; des systèmes les plus courants et représentatifs du parc actuel de PC.





Il est marrant ce mec, tu veux quoi?&nbsp;

Des exploits sous XP?&nbsp;<img data-src=" />



le risque zéro n’existera jamais


Tu as tout dis Dark Vador !








fr1g0 a écrit :



le risque zéro n’existera jamais







Prouve-le <img data-src=" />



“According to HP, which prepared $425,000 in cash and prizes for the 2014 Mobile Pwn2Own, the&nbsp;first day&nbsp;of the competition started with a successful hack of Apple’s iPhone 5s. Members of the South Korean team lokihardt@ASRT “pwned” the device by using a combination of two vulnerabilities. They attacked the iPhone 5s via the Safari Web browser and achieved a full sandbox escape.”





&nbsp;le pseudo “lokihardt” me fait penser à quelqu’un… mais qui… &nbsp; &nbsp;<img data-src=" />



En fait ce mec vit avec 2 concours par an puis se repose le reste de l’année… cool.








coket a écrit :



En fait ce mec vit avec 2 concours par an puis se repose le reste de l’année… cool.







Un peu péremptoire comme affirmation, à mon avis pour avoir le niveau nécessaire pour cracker ces logiciels (navigateurs ou smartphones d’ailleurs) il ne faut pas se « reposer le reste de l’année »…









fr1g0 a écrit :



le risque zéro n’existera jamais





Sources ?

<img data-src=" />



Le bon sens …


Et pour Firefox les trois failles sont:&nbsp; l’OS windows, FlashPlayer et l’interface clavier/chaise








Bill2 a écrit :



Le bon sens …



prouve le <img data-src=" />









von-block a écrit :



Sources ?

<img data-src=" />











Bill2 a écrit :



Le bon sens …











Patch a écrit :



prouve le <img data-src=" />









<img data-src=" />



J’aimerai bien savoir combien de temps il lui a fallut pour préparer son travail, parce que là, on parle de plusieurs années de salaire gagnées en quelques minutes…. Mais dans la réalité…


plusieurs mois/années à squatter le macdo avec comme seul bien ses fringues et son PC. Il fait la manche pour acheter un hamburger a 2e pour pouvoir continuer à squatter le Wifi et voila


Ça me rappel un strip. Pourquoi si cher ?


Je note qu’Opera n’est pas touché ^^



Bon, ok… il est basé sur chromonium donc bon…



Et sinon, des failles sous Lynx ? <img data-src=" />








athlon64 a écrit :



plusieurs mois/années à squatter le macdo avec comme seul bien ses fringues et son PC. Il fait la manche pour acheter un hamburger a 2e pour pouvoir continuer à squatter le Wifi et voila







ça me rappelle l’histoire de ce farmer chinois qui vivait dans un cybercafé avec une douche par semaine et qui se nourrissait exclusivement de ce que fournissait le dit café. <img data-src=" />



Et Epiphany ?








the_Grim_Reaper a écrit :



Je note qu’Opera n’est pas touché ^^



Bon, ok… il est basé sur chromonium donc bon…



Et sinon, des failles sous Lynx ? <img data-src=" />





Ope… quoi ?



RTFNews <img data-src=" />








Burn2 a écrit :



Impressionnante l’efficacité du chercheur coréen.



Après ces concours sont à double tranchant, ok ça permet de trouver les failles, mais il est évident que certains préparent et trouvent les failles avant, ne disent donc rien et attendent le concours pour les dévoiler.

(pour le gain)



==&gt; du coup on améliorer le délais, mais ça ne veut pas dire que la faille n’est pas connue avant, et donc exploitable avant. :/





M’enfin toute méthode de sécurisation reste bonne à prendre.



je pensais exactement la meme chose

le mec va pas signaler le probleme gratuitement s’il sait qu’il peut gagner gros en quelques minutes



ce qui m’impressionne est toujous de voir que ya 21 failles



mais que l’ecrasante majorité, vient de logiciels propriétaire dont les hackers n’ont pas le code source…

Il est en effet plus simple a partir d’un code source de trouver une faille…



Windows&nbsp;: 5 failles =&gt; proprio

&nbsp;Internet Explorer 11&nbsp;: 4 failles =&gt; proprio

&nbsp;Firefox&nbsp;: 3 failles =&gt; libre

&nbsp;Adobe Reader&nbsp;: 3 failles =&gt; proprio

&nbsp;Adobe Flash&nbsp;: 3 failles =&gt; proprio

&nbsp;Safari : 2 failles =&gt; presque libre (webkit)

&nbsp;Chrome : 1 faille =&gt; presque libre (chrome c’est chromium + des addons non libre)

&nbsp;ont pourais donc s’attendre a bien plus de failles sur chrome, safari et firefox et beaucoup moins sur tous les autres produits&nbsp;



En fait contrairement aux idees recues, le code source est rarement utilise pour trouve les failles. En general, le plus efficace, c’est du fuzzing semi-intelligent avec un logiciel qui regarde ce qui se passe en memoire en meme temps. (l’intuition joue aussi beaucoup sur les parties a attaquer).


Il n’y avait pas de machine ie + emet, qui était resté inviolé l’année dernière?


“Mais la méthode utilisée, qui s’est appuyée sur deux bugs dans le noyau Windows”

ooooooooooooh&nbsp;<img data-src=" />








alain57 a écrit :



…Il est en effet plus simple a partir d’un code source de trouver une faille…





Prouve le… <img data-src=" />



Rat ! et quitte le navire stp <img data-src=" />


C’est toujours pareil, si la faille et expliquées correctement, y’a du positif à ce genre de choses, maintenant faire tomber un navigateur à cause d’une faille dans un produit tiers (hors OS) c’est pas terrible, dans le sens où y’a moyen de faire tomber tous les softs associés en fait.



Pour opéra il me semblait pas qu’il utilisait blink, mais ça fait un moment que j’ai pas regardé.

Vais pitete lâcher opéra ci c’est une passoire :‘( je voulais une belle poêle à crêpe moi !








Mithrill a écrit :



Disons que par effet de popularité, Chrome et Opera seront probablement

parmi les navigateurs les plus ciblés par les hackeurs de tout poils,

à eux deux pour ce mois-ci ils représentent pas loin de 50% de part de marché.







Oui, et moi je comparerais ça à la situation passée où il n’existait qu’un seul navigateur utilisé par 90% des gens : c’était le seul navigateur attaqué, et les attaques ciblaient tout le monde.



Comme dans un écosystème naturel, en informatique la seule solution pour résister à un malware, c’est la diversité. S’il y a plusieurs navigateurs qui se partagent le marché, cela complique fortement le travail des hackers, les risques d’infection s’en trouvent diminués. Par exemple si un malware touche Chrome et Opera, les utilisateurs d’Internet Explorer seront épargnés (et inversement bien sûr). Au final il peut toujours y avoir des infections, mais elles touchent une plus petite part de la population.



Il achète les failles 0 days sur le darknet et rentabilise un max, intelligent le coréen <img data-src=" />


Tous des tipiaks ces coréen. <img data-src=" />






  • haha et après ff,google,microsoft bitchent sur flash en demandant pourquoi ça existe encore, et tous les devs html5 rencherissent, suivi des gens qui n’y connaissent rien.










gounzor a écrit :





  • haha et après ff,google,microsoft bitchent sur flash en demandant pourquoi ça existe encore, et tous les devs html5 rencherissent, suivi des gens qui n’y connaissent rien.







    Oui, Flash a vu plein de correctifs et de failles 0-day depuis qu’il existe.



    Mais personne n’a dit que toutes les failles étaient dans Flash et aucune dans les navigateurs… <img data-src=" />



Fermer