Le concours Pwn2Own permet chaque année de récompenser ceux qui parviennent à trouver, puis à exploiter des failles dans les navigateurs. Cette compétition permet aux éditeurs concernés d’accélérer également la découverte des brèches. Comme chaque année, l’édition 2015 n’a épargné personne : tous les navigateurs ont vu leurs défenses percées.
110 000 dollars pour une unique faille dans Chrome
Comme en 2014, tous les navigateurs sont donc tombés en fin de semaine dernière devant les assauts des hackers durant la compétition Pwn2Own. Le concours est examiné de près puisque les participants doivent utiliser une ou plusieurs failles et se débrouiller pour percer les défenses des logiciels. Or, impossible d’utiliser des failles « conventionnelles » puisque les systèmes servant aux tests ont tous les derniers patchs. Conséquence : les brèches utilisées sont inconnues des éditeurs et sont forcément de type 0-day. Notez que Flash et Reader, tous deux d’Adobe, font partie des cibles potentielles en tant que plugins très couramment utilisés.
On retrouvait donc Internet Explorer, Chrome, Firefox et Safari, tous disponibles dans leur dernière mouture. À l’exception de Safari, tous étaient accessibles sur une machine sous Windows 8.1, là encore avec tous les correctifs disponibles. Et tous sont tombés : aucun navigateur n’a pu se targuer d’avoir résisté au savoir-faire des concurrents, dont l’un s’est particulièrement démarqué. Jung Hoon Lee, chercheur coréen en sécurité (pseudonyme « lokihardt »), a ainsi remporté 110 000 dollars en quelques minutes seulement, alors qu’il travaillait seul. Un record.
Pour y parvenir, il a tout simplement exploité un dépassement de mémoire tampon dans Chrome, dans sa dernière révision stable aussi bien que dans sa plus récente bêta. La performance lui a permis d’amasser tout d’abord 75 000 dollars issus du concours proprement dit. Mais la méthode utilisée, qui s’est appuyée sur deux bugs dans le noyau Windows, lui a permis d’engranger également 25 000 dollars supplémentaires. Quant aux 10 000 dollars restants, ils ont été donnés directement par Google, dans le cadre de son Project Zero, pour avoir pu reproduire l’exploitation sur Chrome bêta.
Internet Explorer, Firefox, Safari, Flash, Reader : aucun n'a pu résister
Il ne lui a pas fallu plus de deux minutes pour réaliser sa technique, signe qu’elle avait été largement préparée en amont. HP, dont la Zero Day Initiative sponsorise le concours, note avec amusement que cette performance a permis à Lee d’engranger l’argent à la vitesse de « 916 dollars par seconde ». D’autant que cette somme a été complétée plus tard par 65 000 autres dollars, provenant cette fois de l’exploitation d’une faille TOCTOU (time-of-check to time-of-use) dans Internet Explorer 11 en 64 bits. Il a ainsi pu obtenir des privilèges de lecture/écriture dans le navigateur de Microsoft, en utilisant une faille JavaScript pour s’échapper de la sandbox, qui isole normalement le processus du reste du système.
Notez également que le même Jung Hoon Lee a percé les défenses de Safari sur Mac, lui octroyant 50 000 dollars supplémentaires, pour un total de 225 000 dollars durant la compétition. Il s’agit d’un record, car les sommes élevées sont d’ordinaire réservées à des équipes de plusieurs chercheurs et/ou hackers. Quand on sait que le concours Pwn2Own a versé cette année un total de 557 500 dollars pour 21 failles, on se rend mieux compte de la performance du chercheur coréen, qui totalise plus de 40 % des gains totaux.
Voici d’ailleurs la répartition des failles trouvées :
- Windows : 5 failles
- Internet Explorer 11 : 4 failles
- Firefox : 3 failles
- Adobe Reader : 3 failles
- Adobe Flash : 3 failles
- Safari : 2 failles
- Chrome : 1 faille
Comme d'habitude, les résultats du concours seront suivis par des mises à jour rapprochées pour tous les navigateurs et produits concernés, Firefox ayant déjà reçu son correctif (mouture 36.0.4).
Commentaires (47)
#1
“Pwn2Own : tous les navigateurs sont encore tombés cette année” Vous avez mis ce titre par rapport au crash d’hélico en argentine ??" />
#2
" />" />" />
#3
Impressionnante l’efficacité du chercheur coréen.
Après ces concours sont à double tranchant, ok ça permet de trouver les failles, mais il est évident que certains préparent et trouvent les failles avant, ne disent donc rien et attendent le concours pour les dévoiler.
(pour le gain)
==> du coup on améliorer le délais, mais ça ne veut pas dire que la faille n’est pas connue avant, et donc exploitable avant. :/
M’enfin toute méthode de sécurisation reste bonne à prendre.
#4
Balèze le type !
#5
Pas de machine sous linux/BSD ?
Ont ils fait comme d’habitude, CAD s’attaquer à la machine qui leur plait le plus matériellement parlant ?
#6
#7
Merci à ces chercheurs de dénicher les failles, et merci aux éditeurs de les corriger rapidement. Tout cela est bénéfique pour la sécurité des utilisateurs " />
#8
#9
#10
Ceci dit, ça pourrait être intéressant de commencer à intégrer les smartphones dans ce genre de concours (à moins que ce ne soit déjà le cas ?)
#11
#12
#13
Le souci avec les smartphones, dans ce cas, c’est la MàJ… Ou plutôt l’absence de MàJ.
" />
#14
#15
le risque zéro n’existera jamais
#16
Tu as tout dis Dark Vador !
#17
#18
“According to HP, which prepared $425,000 in cash and prizes for the 2014 Mobile Pwn2Own, the first day of the competition started with a successful hack of Apple’s iPhone 5s. Members of the South Korean team lokihardt@ASRT “pwned” the device by using a combination of two vulnerabilities. They attacked the iPhone 5s via the Safari Web browser and achieved a full sandbox escape.”
le pseudo “lokihardt” me fait penser à quelqu’un… mais qui… " />
En fait ce mec vit avec 2 concours par an puis se repose le reste de l’année… cool.
#19
#20
#21
Le bon sens …
#22
Et pour Firefox les trois failles sont: l’OS windows, FlashPlayer et l’interface clavier/chaise
#23
#24
#25
J’aimerai bien savoir combien de temps il lui a fallut pour préparer son travail, parce que là, on parle de plusieurs années de salaire gagnées en quelques minutes…. Mais dans la réalité…
#26
plusieurs mois/années à squatter le macdo avec comme seul bien ses fringues et son PC. Il fait la manche pour acheter un hamburger a 2e pour pouvoir continuer à squatter le Wifi et voila
#27
Ça me rappel un strip. Pourquoi si cher ?
#28
Je note qu’Opera n’est pas touché ^^
Bon, ok… il est basé sur chromonium donc bon…
Et sinon, des failles sous Lynx ? " />
#29
#30
Et Epiphany ?
#31
#32
RTFNews " />
#33
#34
En fait contrairement aux idees recues, le code source est rarement utilise pour trouve les failles. En general, le plus efficace, c’est du fuzzing semi-intelligent avec un logiciel qui regarde ce qui se passe en memoire en meme temps. (l’intuition joue aussi beaucoup sur les parties a attaquer).
#35
Il n’y avait pas de machine ie + emet, qui était resté inviolé l’année dernière?
#36
“Mais la méthode utilisée, qui s’est appuyée sur deux bugs dans le noyau Windows”
ooooooooooooh " />
#37
#38
Rat ! et quitte le navire stp " />
#39
C’est toujours pareil, si la faille et expliquées correctement, y’a du positif à ce genre de choses, maintenant faire tomber un navigateur à cause d’une faille dans un produit tiers (hors OS) c’est pas terrible, dans le sens où y’a moyen de faire tomber tous les softs associés en fait.
Pour opéra il me semblait pas qu’il utilisait blink, mais ça fait un moment que j’ai pas regardé.
Vais pitete lâcher opéra ci c’est une passoire :‘( je voulais une belle poêle à crêpe moi !
#40
#41
Il achète les failles 0 days sur le darknet et rentabilise un max, intelligent le coréen " />
#42
Tous des tipiaks ces coréen. " />
#43
#44