iPhone, IE, Firefox e Safari: Pwned!

Cadono uno dopo l’altro: al contest “Pwn2Own” della CanSecWest conference cade per primo l’iPhone, seguito dalla trilogia di browser composta da Safari, Firefox ed Internet Explorer. L’evento è organizzato per portare a galla gravi vulnerabilità nei vari software ed ancora una volta la conclusione è un successo (per gli organizzatori) e un insuccesso (per le vittime sacrificali).

Il contest è organizzato sulla base di un premio dovuto a quanti, aggirando lo stato dell’arte nella sicurezza delle varie applicazioni, riesce ad affondare un attacco in grado di prendere pieno possesso del sistema violato. L’iPhone cade sotto i colpi di Vincenzo Iozzo (22enne, italiano, recentemente intervistato da Webnews) e Ralf Philipp Weinmann, dai quali giunge il codice in grado di accedere al telefono facendo proprio il database degli SMS. L’exploit può essere mandato a segno tramite la semplice visita di un sito web: il caricamento della pagina include l’upload del database ed il pieno controllo sullo stesso. Ma non solo: sebbene l’exploit proposto fosse in grado di violare il database degli SMS, in realtà l’attacco è in grado di fare molto di più giungendo anche ai contatti, alle immagini archiviate, alle email e molto altro. Il tutto in appena 20 secondi. Per la coppia un premio da 15 mila dollari, per Apple un danno di immagine a cui porre necessariamente rimedio mediante una patch quanto più solerte possibile.

Ulteriori 10 mila dollari sono andati a Charlie Miller, ancora una volta cecchino ai danni di Safari. Nessun dettaglio è stato diramato circa la vulnerabilità colpita, ma è esplicato il fatto che trattasi di un problema di particolare gravità il cui exploit è particolarmente efficace e pertanto comodo da utilizzare in caso di attacco. La dimostrazione è stata effettuata su di un MacBook Pro aggiornato, sul quale Miller ha dichiarato di poter fare da remoto qualunque operazione.

Peter Vreugdenhil ha affondato Internet Explorer 8 (pdf), Nils ha affondato Firefox. Nel primo caso sono state aggirate tutte le misure di sicurezza dell’ultima versione del browser e del sistema operativo (bypassate la Address Space Layout Randomization e la Data Execution Prevention) ottenendo pieni diritti sul sistema. Vreugdenhil ha poi ricordato come IE sia il browser più diffuso al mondo e che, proprio per questo motivo, è molto più interessante sviluppare exploit che colpiscano il browser di Redmond: ed è per lo stesso motivo che Vreugdenhil usa pertanto Opera come browser predefinito sulla propria macchina personale.

Nils ha tirato in ballo Firefox prendendo pieno controllo del sistema tramite “memory corruption vulnerability” (nella prova è stato utilizzato, come da regolamento, Firefox 3 invece dell’ultimo Firefox 3.6.2). Anche in questo caso sono state aggirate le tecnologie ASLR e DEP, qualcosa su cui Microsoft promette immediate indagini e per le quali non si segnala al momento alcun attacco in corso.