Den årlige hackerkonkurransen Pwn20wn gikk nylig av stabelen, og denne gangen klarte to hacker-team å utnytte sårbarheter for å trenge ut av en virtuell maskin (VM) i VMware, og så kjøre kode på vertsoperativsystemet. Det skriver PC World.
Det er Trend Micros Zero Day Initiative som arrangerer konkurransen, og denne gangen hadde arrangørene lovet en premie på opptil 100 000 dollar for de som klarte å trenge ut av virtuelle maskiner i VMware eller Microsoft Hyper-V. Mange regner virtuelle maskiner som et sikkert sted å kunne kjøre ondsinnet kode eller besøke kompromitterte nettsider, uten fare for at vertsoperativsystemet skal bli infisert. Resultatet av Pwn20wn-konkurransen viser imidlertid at man aldri kan være helt trygg.
Betalte ut premier for 833 000 dollar
På fredag, den siste dagen av konkurransen, klarte to kinesiske hackerteam å utnytte sårbarheter for å trenge ut av VM-en. Det første teamet, Team Sniper, klarte å lenke sammen tre ulike sårbarheter for å unnslippe VMen. Teamet besto av sikkerhetseksperter fra Keen Lab og den kinesiske internett-leverandøren Tencent. Disse vant 100 000 dollar.
Det andre teamet kom fra Qihoo 360, og gjennomførte et enda mer imponerende angrep, hvor de utnyttet blant annet en heap overflow-sårbarhet i Microsofts Edge-nettleser for å trenge ut av VMen. Hackergruppen ble belønnet med hele 105 000 dollar for denne bragden.
Ifølge PC World var oppgaven svært komplisert, siden angriperne måtte starte fra en konto i gjeste-OS-et som ikke hadde administratorprivilegier, og VMware Tools var heller ikke installert.
Totalt ble det betalt ut premier for 833 000 dollar – rundt 7 millioner kroner. Hele fem sårbarheter relatert til Microsoft Edge ble demonstrert i løpet av konkurransen, og det ble også funnet sårbarheter i Apple Safari, i macOS-kjernen og i Ubuntu.
Trend Micro opplyser i et blogginnlegg at alle sårbarheter som ble funnet har blitt rapportert inn til produsentene av den berørte programvaren, og at selskapet vil jobbe sammen med dem mens de utvikler sikkerhetsfikser. Du finner flere detaljer om sårbarhetene og resultatene fra konkurransen her.
