Una vulnerabilità individuata in Safari su macOS ha permesso ad un ricercatore specializzato in sicurezza che partecipa all’annuale competizione Pwn2Own di Vancouver di portare a casa 100.000$. La competizione è al tredicesimo anno e chiama a raccolta e premia i ricercatori di sicurezza per identificare le vulnerabilità nelle piattaforme software maggiormente bersagliate. Gli “hacker” (nel senso più nobile del termine) hanno a disposizione macchine con le ultime versioni dei sistemi operativi.
Nell’edizione 2021 dell’evento (che si è svolto virtualmente) sono stati effettuati 23 diversi tentativi di hacking su 10 diversi prodotti, inclusi browser, sistemi di virtualizzazione, server e altro ancora.
Per quanto riguarda Apple, il ricercatore Jack Dates di RET2 Systems ha mostrato l’uso di un exploit zero-day con il quale ha ottenuto 100.000$. Dal punto di vista tecnico ha sfruttato una vulnerabilità dovuta ad errori di tipo integer overflow in Safari per “iniettare” codice eseguibile a livello del kernel.
Congratulations Jack! Landing a 1-click Apple Safari to Kernel Zero-day at #Pwn2Own 2021 on behalf of RET2: https://t.co/cfbwT1IdAt pic.twitter.com/etE4MFmtqs
— RET2 Systems (@ret2systems) April 6, 2021
Altre dimostrazioni di hacking nel corso dell’evento sono state effettuate con Microsoft Exchange, Parallels, Windows 10, Microsoft Teams, Ubuntu, Oracle VirtualBox, Zoom, Google Chrome e Microsoft Edge. Per quanto riguarda Zoom, una serie vulnerabilità è stata dimostrata da ricercatori olandesi Daan Keuper e Thijs Alkemad, evidenziando la possibilità di controllare un PC da remoto sul quale è installata l’app Zoom, senza bisogno di interazione da parte dell’utente-target.
I ricercatori che hanno partecipato al Pwn2Own riceveranno complessivamente premi pari a oltre 1,2 milioni di dollari.
Tutte le vulnerabilità sfruttate durante la competizione di hacking vengono segnalate ai rispettivi sviluppatori, in questo modo le società hanno modo e tempo di risolverle e di rilasciare aggiornamenti di sicurezza: solo dopo questo passaggio vengono rese di pubblico dominio.
