В первый день Pwn2Own 2019 хакеры взломали Safari, VirtualBox и VMware

В первый день Pwn2Own 2019 хакеры взломали Safari, VirtualBox и VMware

В первый день Pwn2Own 2019 хакеры взломали Safari, VirtualBox и VMware

В первый день знаменитого соревнования хакеров Pwn2Own 2019, которое проходит в Ванкувере, Канада, специалистам удалось взломать браузер Safari от Apple, а также продукты для виртуализации — Oracle VirtualBox и VMware Workstation. В результате исследователи заработали $240 000.

Общая сумма призовых Pwn2Own этого года составила один миллион долларов. Также можно отметить, что впервые в истории состязания участникам предложили попробовать взломать автомобиль Tesla Model 3. В случае успеха специалисты могут получить до $300 000.

В первый день соревнования Амат Кама и Ричард Зу из команды Fluoroacetate заработали $55 000 за эксплойт для Safari. Суть метода атаки на браузер от Apple заключалась в переполнении буфера, которое приводило к обходу встроенной песочницы.

Интересный момент в случае атаки Safari заключается в том, что исследователи использовали брутфорс для «побега из песочницы».

Те же эксперты получили еще $35 000 за взлом Oracle VirtualBox. Взломать этот продукт удалось лишь со второй попытки. Кама и Зу использовали целочисленное переполнение и «race condition» для повышения привилегий и выполнения произвольного кода.

Эта же пара экспертов успешно взломала виртуальную машину VMware Workstation, что вылилось в возможность выполнения кода в системе-хосте. Общая сумма призовых для исследователей Fluoroacetate составила $160 000.

Еще одни эксперты — команда phoenhex & qwerty — заработали $45 000 за эксплойт для Safari с возможностью повысить привилегии до уровня ядра. Чтобы использовать эту уязвимость, пользователя нужно всего лишь заманить на злонамеренный сайт.

На следующий день хакеры попытаются взломать браузеры Mozilla Firefox и Microsoft Edge. 

В России хотят сократить использование VPN без наказания пользователей

Как заявил министр цифрового развития, связи и массовых коммуникаций Максут Шадаев в разговоре с сообществом «МИТ — Мы ИТ», перед ведомством поставлена задача сократить использование VPN. Для этого готовится ряд мер, однако идея введения административной ответственности за использование таких сервисов, по словам главы министерства, ему «категорически не нравится».

По его словам, причиной стало то, что, несмотря на ограничения, введённые в отношении ряда платформ, пользователи продолжают ими пользоваться.

ТАСС приводит следующую цитату из выступления Шадаева:

«Минцифры является органом исполнительной власти, и мы обязаны реализовать поставленные перед нами задачи. В данном случае — задачу по снижению использования VPN.

Как все вы знаете, приняты решения по ограничению доступа к ряду зарубежных платформ, с которыми долго пытались договориться о выполнении законодательных требований. Долго, сложно, безрезультатно. К сожалению. Еще раз — не просто каких-то пожеланий и хотелок, а требований принятых законов. Не получилось».

Для этого ведомство разработало ряд мер, которые, как отметил глава Минцифры, стали «нелёгким компромиссом». По его словам, они должны создать минимум неудобств для пользователей. Введение административной ответственности не рассматривается: «Это решение в лоб, которое нам категорически не нравится».

Среди таких мер, как сообщает «Коммерсантъ», — исключение из «белых» списков сайтов, которые остаются доступными пользователям при включённом VPN. Речь идёт, в частности, о банках, маркетплейсах и соцсетях.

По данным издания, письмо с таким обращением уже направлено компаниям. Однако МТС и Wildberries в комментариях для «Коммерсанта» опровергли введение подобных ограничений. Во «Вкусно — и точка» сообщили, что их сайт не работает при включённом VPN.

Независимый эксперт в сфере искусственного интеллекта и информационных технологий Алексей Лерон оценил долю российских пользователей, регулярно использующих VPN, в 39%. При этом применение таких сервисов для доступа к отечественным платформам создаёт проблемы для работы «белых списков».

Независимый эксперт Алексей Учакин в комментарии для РБК отметил, что выделить VPN-трафик возможно, однако на практике это сложно и чревато ложными срабатываниями.

Также ограничения на покупки и оплату подписок в AppStore через счета мобильной связи некоторые эксперты связывают с попыткой лишить пользователей возможности оплачивать подписки на платные VPN-сервисы. Хотя формально причиной называлось возвращение в AppStore российских приложений, ранее удалённых оттуда из-за санкций.

RSS: Новости на портале Anti-Malware.ru