Hacker-Wettbewerb: Teils gravierende Schwachstellen in Safari, Exchange, Zoom und weiteren
Wer eine Sicherheitslücke findet und diese an den Hersteller meldet, wird mitunter fürstlich dafür entlohnt. Es gibt sogar ganze Hackerwettbewerbe, in denen die Unternehmen hohe Preisgelder dafür ausschreiben, möglichst viele Sicherheitslücken zu finden oder gar das komplette System zu kapern. Je umfassender der Einbruch glückt, desto üppiger normalerweise auch die Belohnung. Alle Seiten profitieren dadurch. Anbieter erfahren so oft zum ersten Mal von Schwachstellen, welche sie nun schließen können – und zwar bevor es Exploits gibt, die dann zum Schaden der Nutzer eingesetzt werden. Zahlreiche Hacker bzw. Sicherheitsexperten bestreiten wiederum ihren Lebensunterhalt damit, auf die Suche nach Lücken zu gehen.
Allerdings spielt die Höhe der Belohnung eine ziemlich wichtige Rolle. Exploits und Sicherheitslücken lassen sich nämlich nicht nur an die Hersteller selbst verkaufen. Es kursiert nämlich noch ein weiterer Markt: Wer beispielsweise Lösungen verkauft, um gesperrte iPhones zu entriegeln, muss dazu auf nicht dokumentierte Schwachstellen setzen und diese auf dem Hackermarkt einkaufen. Sind die Belohnungen der Anbieter zu gering, erfahren diese also mitunter gar nichts von Problemen ihrer Software.
Per Safari Code im Kernel ausführenBeim "Pwn2Own 2021"-Event gelang es einem Sicherheitsexperten namens Jack Dates nun, 100.000 Dollar dafür einzustreichen, indem er Safari knackte. Mithilfe eines Speicherüberlaufs drang er so tief ins System vor, dass Dates sogar Code auf Kernelebene ausführen konnte. Darüber wäre es theoretisch möglich gewesen, das komplette System zu übernehmen und einigen Schaden anzurichten. Bei einem "Zero Day"-Exploit wie diesem handelt es sich um eine Lücke, die zuvor unbekannt war. Voraussetzung war, dass es keiner komplexen Kette an Schritten bedurfte, sondern der manipulierte Safari-Inhalt mit einem Schritt in Gang zu setzen sein musste. Eine Demonstration gab es per kurzem GIF auf
Twitter.
Wettbewerb offenbarte noch viele andere LückenAuf der
Veranstaltungsseite gibt es allerdings noch zahlreiche weitere erfolgreiche Angriffe zu vermelden. Das Knacken eines Exchange-Servers sowie Microsoft Teams waren je gar 200.000 Dollar wert, auch Code-Ausführung via Zoom-Konferenz brachte den Hackern diese Summe ein. Die meisten ausgezahlten Preisgelder lagen allerdings in fünfstelligen Regionen, nur Safari, Chrome, Zoom, Exchange &Teams sowie Parallels Desktop ließen die "Bounties" in sechsstellige Höhe wachsen.