Pwn2Own 2017: Para peneliti berhasil lolos dari mesin virtual penuh melalui Microsoft Edge
2 menit Baca
Diperbarui pada
Bagikan artikel ini
Sempurnakan panduan ini
Baca halaman pengungkapan kami untuk mengetahui bagaimana Anda dapat membantu MSPoweruser mempertahankan tim editorial Baca lebih lanjut
Zero Day Initiative (ZDI), yang didirikan oleh TippingPoint, adalah program untuk memberi penghargaan kepada peneliti keamanan karena mengungkapkan kerentanan secara bertanggung jawab. Kompetisi Pwn2Own terbaru diadakan minggu lalu dan browser Microsoft Edge berhasil diretas beberapa kali oleh para kontestan.
Pada Hari 1 kompetisi, Tencent Security – Team Ether menargetkan Microsoft Edge dan mereka berhasil menggunakan penulisan acak di Chakra dan lolos dari kotak pasir menggunakan bug logika di dalam kotak pasir. Ini membuat mereka mendapatkan $80,000 yang keren.
Pada Hari ke-2, Tencent Security – Team Lance juga berhasil mengeksploitasi Microsoft Edge dengan menggunakan UAF di Chakra kemudian meningkatkan hak istimewa mereka ke SYSTEM dengan menggunakan UAF di kernel Windows. Ini mengumpulkan mereka $ 55,000.
Tencent Security – Team Sniper (Keen Lab dan PC Mgr) menyelesaikan eksploitasi Microsoft Edge dengan UAF di Chakra dan ditingkatkan ke hak istimewa tingkat SISTEM melalui UAF di kernel Windows. Ini memenangkan mereka $55,000.
Sebuah tim dari 360 Security berhasil mengeksploitasi Microsoft Windows dengan bug di luar batas (OOB) di kernel Windows. Ini menjaring mereka $ 15,000.
Terakhir, Tencent Security – Team Sniper (Keen Lab dan PC Mgr) meningkatkan hak istimewa di Microsoft Windows melalui integer overflow di kernel. Ini memberi mereka $ 15,000.
Pada Hari 3, tim dari 360 Security mencoba melarikan diri mesin virtual penuh melalui Microsoft Edge dan mereka berhasil terlebih dahulu untuk kompetisi Pwn2Own. Mereka memanfaatkan heap overflow di Microsoft Edge, kebingungan tipe di kernel Windows, dan buffer yang tidak diinisialisasi di VMware Workstation untuk pelarian mesin virtual yang lengkap. Ketiga bug ini menghasilkan $105,000. Demonstrasi kode mereka hanya membutuhkan 90 detik!
Terakhir, Richard Zhu (fluoresensi) menargetkan Microsoft Edge dengan eskalasi tingkat SISTEM. Dia memanfaatkan dua bug use-after-free (UAF) terpisah di Microsoft Edge dan kemudian meningkat ke SYSTEM menggunakan buffer overflow di kernel Windows. Ini mengumpulkan dia $ 55,000.
Penting untuk selalu memperbarui perangkat Windows 10 Anda dengan pembaruan terbaru dari Microsoft untuk melindungi perangkat Anda dari kerentanan seperti di atas.
