Google Pwnium 2:
60.000 Dollar für geknacktes Chrome

von Lars Bube (lbube@weka-fachmedien.de)

12.10.2012

Beim zweiten Pwnium-Wettbewerb von Google ist es dem Hacker »Pinkie Pie« erneut gelungen, Google Chrome zu knacken. Dabei war sein Angriffsweg sogar noch leichter als beim ersten Coup.

Keine Beiträge im Forum. » Diskussion starten!

Wie schon beim ersten Mal konnte der Hacker Pinkie Pie bei Pwnium2 abräumen.(Bild: tiero - fotolia.com)

Google arbeitet seit jeher eng mit der Web-Community zusammen, um Sicherheitslücken und Hintertüren in den eigenen Programmen aufzuspüren, bevor sie in die falschen gelangen und Schaden anrichten können. Die »Finder« der Schwachstellen erhalten für ihre Meldung je nach Relevanz der Schwachstelle eine nette finanzielle Belohnung von Google. Im Februar hatte Google sogar erstmals eigens den Wettbewerb Pwnium veranstaltet, bei dem es ausschließlich darum ging, Chrome auszuhebeln. Diese Woche fand nun im Rahmen der Hack in the Box 2012 [1] Konferenz in Kuala Lumpur »Pwnium2 [2]« statt. Insgesamt eine Million Dollar Preisgeld waren dabei für erfolgreiche Angriffe auf Chrome ausgelobt.

Allerdings gelang es auf der Veranstaltung nur einem einzigen Hacker, die geforderten Hürden zu überwinden und sich unberechtigten Zugang zum lokalen Testsystem zu verschaffen. Erneut war es der Hacker »Pinkie Pie«, der den Browser erfolgreich kompromittierte und sich so Zugriff auf den Testrechner verschaffen konnte. Während er allerdings beim ersten Mal noch sechs Sicherheitslücken miteinander verknüpft hatte, gelang ihm der Einbruch in diesem Jahr relativ »leicht«. Über eine Schwachstelle in Webkit konnte Pinkie Pie den Rendering-Prozess eines SVG-Bildes abbrechen und dann mittels eines zweiten Exploits aus der Sandbox von Chrome ausbrechen.

»Wir möchten uns bei Pinkie Pie für seine harte Arbeit an einem weiteren erfolgreichen Pwnium-Beitrag bedanken«, bedankte sich Google anschließend und honorierte den erfolgreichen Hack mit dem maximalen Einzelpreisgeld von 60.000 US-Dollar, da Pinkie ausschließlich Google-eigene Schwachstellen ausgenutzt hatte. Wer sich hinter dem Pseudonym verbirgt will man jedoch nicht verraten. Die von Pinkie Pie genutzten Sicherheitslücken wurden innerhalb von weniger als 24 Stunden gestopft.

[1] http://conference.hitb.org/hitbsecconf2012kul/
[2] http://blog.chromium.org/2012/10/pwnium-2-results-and-wrap-up_10.html

Verwandte Artikel