S23 bei Pwn2Own in 2 Tagen 4x gehackt

[85950]

Golem.de: IT-News für Profis

 

[josifi]

@phone-company
Es gibt nichts, dass nicht von absoluten Profis gehackt werden kann. Das beunruhigt mich nicht weiter.

 

[85950]

@josifi soll auch kein schlechtreden sein aber ich bin schon erstaunt das das über Jahre in Folge passiert und warum es eben mit anderen Geräten nicht so ist....da muss Samsung Hausaufgaben machen.... Ich mag das Gerät nach wie vor und es ist für mich in 2023 eins der besten Geräte

 

[josifi]

@phone-company
Woher weißt du, dass es bei anderen Geräten nicht auch so ist?

 

[alexandre]

Lt. Reddit standen auch nur zwei Hersteller auf der Liste. Samsung verkauft weltweit mit die meisten Geräte, ist somit stärker im Fokus.

 

[Queeky]

Dort steht unten im letzten Absatz "Sie versuchten Smartphones und verschiedenste andere Geräte namhafter Hersteller zu hacken, darunter Samsung, Apple, Google, Xiaomi, Western Digital, Canon, Lexmark, Synology, QNAP, TP-Link, Sonos und HP. Viele Angriffe waren erfolgreich, einige andere hingegen nicht."
Also nicht nur Samsung war betroffen, auch noch andere.

Hört sich erstmal "schlimm" an, aber was heißt das für normal sterbliche, wenn da steht "die eine Zero-Day-Schwachstelle in einer Eingabevalidierung ausnutzten, um eigenen Code auszuführen"? Können die damit auf meine Kreditkarte zugreifen, oder nur den "Hello World" Code starten?
Das müsste mal jemand einordnen, der damit etwas anfangen kann.

 

[85950]

@josifi weil es ja getestet wurde siehe Antwort unter deiner Frage

Beiträge automatisch zusammengeführt: 28.10.2023

@Queeky meist ist, wenn die Meldung rauskommt, schon alles gefixt. Sollte auch absolut kein gebashe sein sondern Info... Auch Apple hat es ja vor nicht allzu langer Zeit ziemlich getroffen und diese Tests sind absolut notwendig damit man Schwachstellen fixen kann

 

[Queeky]

Sollte auch absolut kein gebashe sein sondern Info...

Alles gut, habe ich auch nicht so aufgefasst

 

[Nightly]

Nun, es war eben nicht nur Samsung, auch andere haben ihr Lehrgeld bezahlt

Es gelangen unter anderem folgende Hacks:
Binary Factory konnte eine Stack-basierte Buffer-Overflow-Attacke gegen die Überwachungskamera Synology BC500 zum Erfolg führen und gewann damit 30.000 Dollar und drei Master-of-Pwn-Punkte.

Pentest Limited gelang mittels eines DOS- und SSRF-Angriffs die Ausführung einer 2-Bug-Chain gegen den NAS-Server My Cloud Pro Serie PR4 100 von Western Digital (40.000 Dollar; vier Punkte).

Team Viettel schloss einen Single-Bug-Angriff gegen das Smartphone Xiaomi 13 Pro erfolgreich ab (40.000 Dollar; vier Punkte). Das gleiche Team strich weitere 20.000 Dollar und vier Punkte) für die Ausführung einer 2-Bug-Chain gegen das NAS-System QNAP TS-464 ein.

Das Xiaomi-Phone fiel auch der NCC Group zum Opfer, die ebenfalls 20.000 Dollar und vier Punkte einheimsen konnte.

Ein Buffer-Overflow-Angriff gegen den Canon-Drucker imageCLASS MF753Cdw brachte Nguyen Quoc Viet 20.000 Dollar und zwei Master-of-Pwn-Punkte ein. Jeweils 10.000 Dollar und zwei Punkte für eine vergleichbare Leistung beim gleichen Gerät erhielten "Ben" und abermals das Team Viettel.

15.000 Dollar und drei Punkte gab es für Synacktiv für die Ausführung einer 3-Bug-Chain ebenfalls gegen die Synology BC500.

Besonders viel Geld, nämlich 60.000 Dollar, brachte dem Team Orca von Sea Security die Ausführung einer 2-Bug-Chain (unter Verwendung von OOB Read und UAF) gegen die Musikanlage Sonos Era 100. Dafür gab es zudem sechs Punkte.

Durch einen SSRF-Angriff und zwei Injection-Schwachstellen konnte auch Team ECQ eine 3-Bug-Chain gegen das NAS-System QNAP TS-464 erfolgreich ausführen. Der Lohn: 40.000 Dollar und vier Punkte. Halb so viel Geld erhielt STAR Labs SG, ebenfalls für einen erfolgreichen Angriff auf das NAS-System.

Den Lexmark-Drucker CX331adwe hatte das Team PHPHooligans im Visier: 20.000 Dollar und zwei Punkte erhielt es für die erfolgreiche Nutzung eines Speicherkorrumpierungs-Fehlers, der eine Remote Code Execution (RCE) ermöglichte.

usw..

#everythingishackablealsobrains

 

[85950]

@Nightly krass alles aber besser wenn die was finden als wenn es die nso group macht und den Scheiss für teuer Geld an Regierungen dieser Welt verkauft....

Man muss aber auch noch mal betonen das solche hacks nur unter bestimmten Voraussetzungen funktionieren und das die Hersteller vor der Veröffentlichung informiert werden um die Sachen noch zu fixen....

 

[Schinkenhörnchen]

Bekommen in der Regel 120 Tage Zeit, dann werden die Hacks veröffentlicht. Bei der S22-Reihe letztes Jahr war es genauso. Wurde ultraschnell gehackt, glaube damals in unter einer Minute. Samsung fixte die Lücken.

ABER: Das sind Momentaufnahmen. Wenn die Löcher gestopft sind, tun sich sicher spätestens bei A14 wieder neue auf ... Nur gibts dann keinen Wettbewerb mehr, wer sich ins S23 A14 hacken kann ...

 

[Nightly]

. Nur gibts dann keinen Wettbewerb mehr, wer sich ins S23 A14 hacken kann ...

Zumindest erstmal keinen mit Bounty ... zumindest nicht offiziell

@BrotundButter
@Schinkenhörnchen

Offenbar gab es noch mehr zum staunen :

Am ersten Tag der Pwn2Own-Konferenz in Vancouver wurde eine beeindruckende Reihe von Hacks vorgeführt:

Am ersten Tag der Pwn2Own Vancouver 2023 haben Sicherheitsforscher erfolgreich Tesla Model 3, Windows 11 und macOS Zero-Day-Exploits und Exploit Chains vorgeführt, um 375.000 Dollar und ein Tesla Model 3 zu gewinnen.

Der erste, der fiel, war Adobe Reader in der Kategorie Unternehmensanwendungen, nachdem Abdul Aziz Hariri (@abdhariri) von Haboob SA eine Exploit-Kette verwendet hatte, die auf eine 6-Bug-Logikkette abzielte, die mehrere fehlgeschlagene Patches missbrauchte, der Sandbox entkam und eine verbotene API-Liste auf macOS umging, um 50.000 US-Dollar zu gewinnen.

Das Team von STAR Labs (@starlabs_sg) demonstrierte eine Zero-Day-Exploit-Kette, die auf Microsofts SharePoint-Plattform für Teamzusammenarbeit abzielte und ihnen eine Belohnung von 100.000 Dollar einbrachte, und hackte erfolgreich Ubuntu Desktop mit einem zuvor bekannten Exploit für 15.000 Dollar.

Synacktiv (@Synacktiv) nahm 100.000 US-Dollar und ein Tesla Model 3 mit nach Hause, nachdem sie erfolgreich einen TOCTOU-Angriff (time-of-check to time-of-use) gegen das Tesla-Gateway in der Kategorie Automotive durchgeführt hatten. Sie nutzten auch eine TOCTOU-Zero-Day-Schwachstelle, um die Privilegien von Apple macOS zu erweitern und verdienten 40.000 US-Dollar.

Oracle VirtualBox wurde von Bien Pham (@bienpnn) von Qrious Security mit einem OOB-Read und einer Stacked-Buffer-Overflow-Exploit-Kette gehackt (im Wert von 40.000 US-Dollar).

Zu guter Letzt erhöhte Marcin Wiązowski seine Privilegien unter Windows 11 mit Hilfe eines Zero-Day-Exploits zur fehlerhaften Eingabevalidierung, der mit 30.000 US-Dollar dotiert war.

Der zweite und dritte Tag des Kongresses waren ebenso beeindruckend

Quelle. und weitere

 

[Queeky]

Das wird alles noch interessant, wenn Autos erstmal gehackt werden.

Computerhersteller, Firmen wie Apple, Microsoft und all die Handyhersteller, dort hat man das Thema Sicherheit auf dem Schirm. Monatliche Updates, etc. Wir wissen ja, wie nervös hier schon einige werden, wenn das monatliche Sicherheitsupdate von Samsung oder Google mal 3 Tage später kommt. Dann haben hier ja schon gleich einige Panik in den Augen und drehen am Rad.

Aber wie sieht es bei Autos aus? Wenn man sich bei Autos über Sicherheit unterhält, dann denkt man in erster Linie an Crashtests, Airbags, Bremswege, Kindersitze usw. Testet z.B. der ADAC ja alles zur Genüge. Aber wie siehts da mit der Sicherheit bei der Software aus? Was wenn plötzlich auf dem Display im Cockpit steht "Dein tolles E-Auto wurde gehackt. Zahle 10.000 € an uns, vorher fährt dein Auto nicht weiter".....
Wir können nur hoffen, dass die Autohersteller dieses Thema Sicherheit auch auf dem Schirm haben, und nicht nur die Knautschzone.

An diejenigen hier, die immer gleich in Panik geraten, wenn das monatliche Sicherheitsupdate für ihr Handy mal 3 Tage später kommt, geht ihr eurem Autohersteller mit eurem Geheule auch schon auf den Senkel, warum es da noch keine monatlichen Updates der Auto-Software gibt? Hoffe ich doch

 

[85950]

@Queeky gab es schon vor Jahren.... Ein Toyota Prius wurde von Studenten einer TU so manipuliert das während der Fahrt das Licht ausgeschaltet werden konnte und die Bremsen deaktiviert. Die Krux an der Sache war das das nachher nicht nachvollziehbar war. Also Sachverständige könnten nicht erkennen daß ein Ausfall vorlag.... Man muss aber dazu sagen das man für diesen Hack an die OBD2 Schnittstelle im Auto musste. Trotzdem unschön und auch hier war es gut das es von Studenten einer Technischen Universität als Test gelaufen ist.....nicht auszumalen was man mit aolch einem Hack anrichten könnte

 

[Queeky]

OBD2 Schnittstelle ok, dafür muss man mit einem Stecker und Kabel ans Auto rankommen. Irgendwann wird aber auch das bestimmt online gehen.
Apple plant inzwischen, die Firmware der iPhones zukünftig durch die geschlossene Verpackung zu aktualisieren, damit der Kunde gleich die aktuelle Firmware drauf hat, wenn er das iPhone neu kauft. Die Nachricht ging letzte Woche durch die Medien.
Wer weiß was die Zukunft dahingehend alles noch bringt. Dann stehst du mit einem Galaxy Tab neben einem Auto und stellst eine Verbindung her. Wer weiß.

 

[josifi]

Dann stehst du mit einem Galaxy Tab neben einem Auto und stellst eine Verbindung her. Wer weiß.

Das geht bei einigen (eigenen) Autos doch jetzt schon, zumindest Öffnen und starten. Und das Auto ein- und ausparken lassen ist in der Versuchsphase.