L'edizione 2017 della competizione Pwn2Own è terminata, e ciò che ne è uscito terrà occupati i responsabili del software colpito per settimane (o forse mesi). Undici squadre e trenta attacchi programmati hanno messo in ginocchio diversi strumenti di alto profilo, tra cui spiccano Ubuntu, alla sua prima partecipazione, e i prodotti Adobe come Reader e Flash. Tuttavia, il vero «colabrodo» della festa è stato Microsoft Edge, che gli hacker sono riusciti a manipolare per fuggire da una macchina virtuale.
Pwn2Own 2017: premi e numeri
Pwn2Own 2017 ha distribuito più di 800 mila dollari in tre giorni, e questo senza contare i computer portatili che le squadre partecipanti si sono portate a casa. La pagina ufficiale riporta un totale di 51 bug, che ovviamente sono già stati presentati agli sviluppatori affinché implementino le patch necessarie. Le squadre sono sempre più dedicate, astute e creative, incatenando vulnerabilità con una naturalezza che fa paura. Naturalmente ci sono stati alcuni ritiri all'ultimo momento, fallimenti per aver superato i limiti di tempo e squalifiche dovute all'uso di bug già segnalati, ma per quanto riguarda il resto… non hanno lasciato nulla in piedi.
Ubuntu, Safari e Adobe sotto attacco
Chi si è portato via un po' di attenzione il primo giorno è stato Ubuntu, che ha ceduto davanti alla squadra Chaitin Tech, la quale ha sfruttato un bug nel kernel e ha ottenuto accesso root attraverso l'applicazione xcalc. La vulnerabilità era in fondo una delle più piccole, ma sufficiente per aggiudicarsi un premio di 15 mila dollari. Safari ha subito tre attacchi riusciti e un altro riconosciuto in modo parziale, poiché il bug utilizzato era stato eliminato in una versione beta successiva. E Adobe non ha perso il vizio con grandi falle in Reader (che in un caso ha consentito l'esecuzione di codice remoto dopo che l'attaccante ha combinato tre bug) e Flash (elevazione dei privilegi).
Microsoft Edge, il colabrodo della manifestazione
Ma la mascella di vetro per eccellenza al Pwn2Own 2017 è stato Microsoft Edge. Il browser integrato in Windows 10 è stato superato in cinque occasioni, a cominciare dal primo giorno, quando il Team Ether di Tencent Security è fuggito dalla sandbox con un bug logico e una scrittura arbitraria nel motore Chakra. L'attacco più spettacolare contro Edge è arrivato il terzo giorno, con i membri di 360 Security che sono fuggiti completamente da una macchina virtuale. Il primo passo è stato combinare un bug in Chakra e nel kernel di Windows per ottenere l'esecuzione di codice all'interno della sandbox, e poi uscirne. Con il sistema ospite in loro potere, 360 Security si è infiltrata attraverso un buffer non inizializzato in VMWare Workstation, ottenendo così accesso al sistema host. Questo tridente ha dato a 360 Security un totale di 105 mila dollari e li ha consacrati vincitori (Tencent è rimasta molto vicina, e la sua stessa fuga da VMWare è valsa 100 mila dollari).
Sappiamo da tempo che il controllo di qualità in Microsoft è crollato a pezzi, ma quello di Edge al Pwn2Own 2017 è stato scandaloso. Spero che Redmond lanci presto un update.
