[ziesell]

1,1 Millionen USD gewonnen: Pwn2Own-Hacker attackieren Tesla, Firefox und andere

Teilnehmer der Pwn2Own Vancouver 2024 haben durch 29 Zero-Day-Schwachstellen mehr als 1,1 Millionen US-Dollar gewonnen. Ein Team erhielt sogar einen Tesla.



Am 20. und 21. März fand der beliebte und dieses Mal in der kanadischen Stadt Vancouver abgehaltene Hackerwettbewerb Pwn2Own statt, bei dem die Teilnehmer insgesamt 1.132.500 US-Dollar an Preisgeldern gewonnen haben.

Die Hacker demonstrierten im Rahmen der von der Zero Day Initiative (ZDI) organisierten Veranstaltung die Ausnutzung von 29 neuen Zero-Day-Schwachstellen in verschiedenen Produkten.

Erfolgreiche Angriffe gab es unter anderem auf einen Tesla Model 3, Windows 11, Ubuntu, VMware Workstation, Oracle Virtualbox und die Webbrowser Apple Safari, Google Chrome, Mozilla Firefox und Microsoft Edge.

Angriffe auf Webbrowser und Tesla

Gewinner des Wettbewerbs ist einem X-Beitrag der ZDI zufolge der Sicherheitsforscher Manfred Paul. Er erhielt insgesamt 202.500 US-Dollar an Preisgeldern für Angriffe auf gängige Webbrowser.

Zuerst demonstrierte er die Ausnutzung einer RCE-Schwachstelle in Safari, später griff er auch noch erfolgreich Chrome, Edge und Firefox an.

Mozilla patchte die beiden von Paul für seinen Angriff auf den Firefox ausgenutzten kritischen Sicherheitslücken schon am nächsten Tag. Seit dem 22. März steht mit Version 124.0.1 ein entsprechendes Update für den Browser bereit.

Dicht hinter Paul folgte auf dem zweiten Platz das Team Synacktiv, das 200.000 US-Dollar sowie einen Tesla Model 3 gewann. Diesen Preis erhielt Synacktiv für nur einen einzigen erfolgreichen Angriff auf ein Steuergerät in einem Tesla.

Schon bei der allerersten Pwn2Own Automotive im Januar demonstrierte das Team erfolgreiche Angriffe auf Tesla-Fahrzeuge und erhielt insgesamt 450.000 US-Dollar an Preisgeldern.

ZDI räumt 90 Tage Zeit für Patches ein

Ein Überblick über alle auf der Pwn2Own Vancouver 2024 durchgeführten Angriffsversuche und deren Erfolg ist in zwei Blogbeiträgen auf der Webseite der ZDI zu finden.

Details zu den ausgenutzten Schwachstellen werden aus Sicherheitsgründen wie immer vorerst zurückgehalten, um den Herstellern 90 Tage Zeit für die Bereitstellung von Patches einzuräumen. Mozilla reagierte der ZDI zufolge dieses Mal am schnellsten.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]