Исследователи безопасности взломали Microsoft Edge и Mozilla Firefox и получили денежный приз в размере 270 тысяч долларов на хакерском мероприятии Pwn2Own.

Браузер Firefox 66 был анонсирован 19 марта, поэтому компания разрешила дружественным хакерам атаковать его, чтобы обнаружить любые потенциальные уязвимости безопасности.

Исследователи определили две проблемы в веб-браузере. Уже на следующий день компания решила выпустить патч для исправления их обоих в обновлении Firefox 66.0.1.

Те, кто не знает о Pwn2Own, это в основном ежегодный хакерский конкурс. Он предоставляет исследователям безопасности прекрасную возможность продемонстрировать новые ошибки нулевого дня.

В обмен на их усилия, инициатива Trend Micro Zero Day Initiative (ZDI) вознаграждает их значительной суммой.

Дуэт @fluoroacetate делает это снова. Они использовали путаницу типов в #Edge, условие гонки в ядре, а затем внеплановую запись в #VMware, чтобы перейти от браузера в виртуальном клиенте к выполнению кода на хост-ОС. Они зарабатывают $ 130K плюс 13 очков Master of Pwn. pic.twitter.com/mD13kozJLv

- Инициатива Zero Day (@thezdi) 21 марта 2019 г.

Pwn2Own Roundup

Исследователи, продемонстрировавшие новые уязвимости на рабочих станциях Oracle VirtualBox, Apple Safari и VMware, получили в первый день Pwn2Own 2019 $ 240 000.

В преддверии второго дня ZDI выделил 270 000 долларов тем исследователям, которые выявили новые ошибки в браузере Microsoft Edge и Mozilla Firefox.

Вот как исследователям удалось взломать Edge:

Это все, что нужно для перехода от браузера в клиенте виртуальной машины к выполнению кода на базовом гипервизоре. Они начали с ошибки путаницы типов в браузере Microsoft Edge, затем использовали условие состязания в ядре Windows с последующей записью за пределами допустимых границ на рабочей станции VMware.

Самое главное, что недостаток эскалации ядра в Firefox 66 был продемонстрирован Ричардом Чжу, и Амат Кама, официально известный как Фторацетат, получил награду в размере 50 000 долларов. Никлас Баумстарк использовал технику побега из песочницы, чтобы использовать Firefox 66.0, и получил награду в размере 40 000 долларов.

Все эти уязвимости были сообщены Microsoft и Mozilla, и компании, которые работают над исправлениями, должны выпустить в следующих обновлениях.