lolloj - Fotolia

Noticias Manténgase informado sobre las más recientes actualizaciones de productos y noticias de tecnología empresarial.

Flash, el centro de los ataques durante Pwn2Own 2016

Apple Safari, Microsoft Edge, Adobe Flash y Google Chrome cayeron ante los ataques del evento anual de seguridad de TI, Pwn2Own.

Pwn2Own, evento anual que reúne a investigadores de seguridad, es conocido por ser la sede de las pruebas de seguridad para los navegadores web más populares en diferentes sistemas operativos, así como en los plugins más atacados.

Los días 16 y 17 de marzo se llevó a cabo el Pwn2Own 2016 en Vancouver, Canadá, organizado por Hewlett Packard Enterprise, Zero Day Initiative (ZDI) y Trend Micro. 

Como en ediciones anteriores, las principales  víctimas de los ataques de prueba fueron Apple Safari, Microsoft Edge, Adobe Flash y Google Chrome; pero en esta ocasión Flash fue el centro de los ataques. Entre los dos días, se descubrieron 21 nuevas vulnerabilidades y se entregaron $460.000 dólares en premios.

Día 1: 15 nuevas vulnerabilidades y $282.500 dólares en premios

El primer día se realizaron seis intentos de ataque, cuatro exitosos, uno de forma parcial y otro fallido. En total se reportaron 15 nuevas vulnerabilidades y se entregaron $282.500 dólares en premios.

JungHoon Lee (lokihardt) atacó Apple Safari mediante una combinación de cuatro fallos diferentes, incluyendo un desbordamiento de búfer para elevar sus privilegios a root

El equipo 360Vulcan realizó un ataque a Adobe Flash. Fueron capaces de emplear una confusión de tipos en Flash y un fallo en el kernel de Windows para escalar del modo usuario a SYSTEM. Estos exploits le consiguieron $80.000 dólares al equipo. 

Tencent Security Team Shield atacaron Apple Safari junto con una escalada de privilegios a root, lo que les sirvió para conseguir $40.000 dólares. 

Con un segundo intento, el equipo 360Vulcan atacó Google Chrome. En esta ocasión el objetivo solo se logró de forma parcial. El acceso fuera de límites en Chrome empleado ya era conocido por Google, pero este fallo junto con tres usos les sirvió para conseguir otros $52.500 dólares. 

El equipo Tencent Security Team Sniper atacó a Adobe Flash. Mediante una cadena de combinación de fallos que les reportó $50.000 dólares. 

Para finalizar el primer día, Tencent Xuanwu Lab intentó conseguir una elevación a privilegios de sistema en su ataque a Adobe Flash. Sin embargo, tras de los 15 minutos permitidos no consiguió un ataque exitoso. 

Día 2: seis vulnerabilidades y $177.500 dólares en premios

El segundo día se realizaron cinco intentos, tres exitosos y dos fallidos contra siete productos. 

El equipo Tencent Security Team Sniper comenzó el segundo día atacando Apple Safari, incluyendo un acceso fuera de límites en el kernel para elevar los privilegios a root. Esta combinación les aportó otros $40.000 dólares. 

JungHoon Lee se enfocó en Edge, el nuevo navegador de Microsoft, realizando una ejecución de código en el contexto del sistema mediante una vulnerabilidad de variable no inicializada en Microsoft Edge y una escalada de directorios en Microsoft Windows. Con esto se ganó otros $85.000 dólares. Sin embargo, también intentó un ataque sobre Google Chrome que no tuvo éxito.

Tencent Security Team Shield tampoco consiguió concretar un ataque a Adobe Flash. De acuerdo con los organizadores, estos intentos fallidos demuestran la dificultad de crear una cadena de exploits exitosos capaces de comprometer el software actual

Finalmente, los miembros de Tencent Security Team Sniper lograron un ataque exitoso contra Microsoft Edge en tan solo dos minutos. Emplearon una vulnerabilidad de acceso fuera de límites en el navegador combinada con un desbordamiento de búfer en el kernel de Windows para conseguir permisos de sistema. Con esto se ganaron $52.500 dólares y el título de Master of PWN 2016

Todas las vulnerabilidades se han reportado a los fabricantes. 

Resultados finales del Pwn2Own 2016:

  • 6 vulnerabilidades en Windows
  • 5 vulnerabilidades en Apple OS X 
  • 4 vulnerabilidades en Adobe Flash 
  • 3 vulnerabilidades en Apple Safari 
  • 2 vulnerabilidades en Microsoft Edge 
  • 1 vulnerabilidad en Google Chrome 

Investigue más sobre Identidad corporativa y la gestión de acceso

Close