[ziesell]

Pwn2Own: Samsung Galaxy S23 in zwei Tagen gleich vier Mal gehackt

Teilnehmern des Hackerwettbewerbs Pwn2Own in Toronto ist es gelungen, das Samsung Galaxy S23 anhand neuer Schwachstellen mehrfach zu hacken.



Im Rahmen des jährlich von der Zero Day Initiative (ZDI) im kanadischen Toronto abgehaltenen Hackerwettbewerbs Pwn2Own haben Sicherheitsforscher das Android-Smartphone Samsung Galaxy S23 in diesem Jahr innerhalb von nur zwei Tagen gleich vier Mal gehackt. Die Veranstaltung fand vom 24. bis zum 27. Oktober statt. Die Teilnehmer gewannen Preisgelder im Gesamtwert von mehr als einer Million Dollar.

Die ersten zwei Angriffe auf das Galaxy S23 von Samsung gelangen schon am ersten Tag des Wettbewerbs. Die ersten erfolgreichen Angreifer waren Forscher von Pentest Limited, die eine Zero-Day-Schwachstelle in einer Eingabevalidierung ausnutzten, um eigenen Code auszuführen. Sie erhielten 50.000 US-Dollar für ihre Demonstration.

Das zweite Team, dem ein Hack auf das Samsung Galaxy S23 gelungen war, gehörte zu dem Unternehmen Star Labs SG. Es erhielt 25.000 US-Dollar für das Ausnutzen einer freizügigen Liste zulässiger Eingaben, wenngleich in der Ankündigung keinerlei Details genannt werden.

Neuste Updates waren installiert

Die nächsten beiden Angriffe auf das S23 gelangen erst am zweiten Tag des Pwn2Own-Wettbewerbs. Dabei kam es erneut zur Ausnutzung einer unsachgemäßen Eingabevalidierung sowie einer Liste zulässiger Eingaben, die dieses Mal von Forschern von Interrupt Labs und ToChim erzielt wurden. Beide Teams erhielten jeweils 25.000 US-Dollar für ihre Demonstrationen.

Den Wettbewerbsregeln zufolge waren die gehackten Zielgeräte jeweils mit der neusten Betriebssystemversionen inklusive aller verfügbarer Sicherheitsupdates ausgestattet. Eine Veröffentlichung der Details zu den erfolgreichen Angriffen ist vorerst nicht zu erwarten, da diese die Endgeräte zahlreicher Anwender gefährden würden.

Sobald Samsung Patches für die ausgenutzten Schwachstellen bereitgestellt hat, könnte der ein oder andere Forscher aber durchaus weitere Informationen veröffentlichen – so war es auch in der Vergangenheit oft der Fall. Die ZDI selbst räumt Herstellern 120 Tage Zeit ein, um gemeldete Sicherheitslücken zu patchen. Nach dieser Frist gibt die Organisation die Schwachstellen von sich aus öffentlich bekannt.

Mehr als 58 neue Zero-Day-Schwachstellen

Insgesamt erhielten Teilnehmer der diesjährigen Pwn2Own in Toronto 1.038.500 US-Dollar an Preisgeldern für das Ausnutzen von 58 unterschiedlichen Zero-Day-Schwachstellen. Sie versuchten Smartphones und verschiedenste andere Geräte namhafter Hersteller zu hacken, darunter Samsung, Apple, Google, Xiaomi, Western Digital, Canon, Lexmark, Synology, QNAP, TP-Link, Sonos und HP. Viele Angriffe waren erfolgreich, einige andere hingegen nicht.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]