Pwn2Own: cedono Safari, IE8 e Firefox

Mentre la competizione Pwn2Own avanza, cominciano a delinearsi i nomi delle prime illustri vittime e dei primi vincitori: è Safari il primo browser a cedere sotto l’attacco spietato di Charlie Miller, volto già noto per aver vinto (e violato) l’anno scorso un MacBook Air. Neppure Internet Explorer 8 resiste e cede sotto le mani di ‘Nils‘, seguito a ruota da Firefox.

Sono quattro i browser in gioco al Pwn2Own 2009: Internet Explorer 8, Firefox e Google Chrome per i sistemi Windows, Firefox e Safari per le macchine Mac. Come precedentemente accennato, il primo browser a mostrare le sue debolezze è stato Safari su Mac OS X, messo con le spalle al muro dall’analista Charlie Miller nel giro di una manciata di secondi. «Non posso riportare i dettagli della vulnerabilità, ma si trattava di un Mac con le ultime patch e di Safari, anch’esso completamente aggiornato», ha dichiarato Miller, aggiungendo come per ottenere l’exploit siano bastati 5 o 10 secondi. «Ho dato loro un link, loro lo hanno cliccato e voilà», ha riferito Miller; «avevo preparato alcune cose in grado di mostrare come avessi ottenuto il pieno controllo del Mac». Le regole del concorso prevedono infatti che i ricercatori possano presentare un URL dove risiede un exploit da loro preconfezionato, simulando così l’attacco di malware presenti all’interno di un sito malevolo. Un prodezza annunciata che, a detta di Miller, non avrebbe in fondo poi nulla di così straordinario: Safari sarebbe infatti un bersaglio facile, poiché «è pieno di bug».

A catturare l’attenzione del contest, anche il ricercatore chiamato Nils, in grado di sfruttare una falla zero-day per prendere il controllo di Internet Explorer 8, il tutto su di una macchina Sony Vaio sulla quale girava Windows 7. Sono per il momento molto scarne le informazioni in merito a tale prodezza se non per quanto riguarda una frase riportata sul Twitter di TippingPoint (sponsor della competizione): «Nils ha appena vinto un Sony Vaio con un brillante bug per IE8!». Il ricercatore non ha mancato poi di stupire i presenti portando a compimento un exploit su Firefox e nuovamente su Safari.

Novità del Pwn2Own 2009, la possibilità di mettersi alla prova anche con diversi sistemi operativi per il settore mobile, ovvero BlackBerry, Android, iPhone (2.0), Symbian 3 e Windows Mobile, operazione in grado tra le altre cose di assicurare in caso di vittoria un premio di ben 10.000 dollari. Al momento però, a causa di regole molto restrittive imposte nelle prime giornate del contest, non è stato rilasciato il nominativo di alcun vincitore. Miller, dal canto suo, non sembra intenzionato a prendere parte alla competizione relativa al settore mobile: «non sono in grado di scardinarli», ha dichiarato, «non ho in mano nulla per l’iPhone e non conosco abbastanza Android».