Na Pwn2Own natječaju hakirani iPhone i Samsung Galaxy S3
Nizozemski sigurnosti istraživači uspjeli su hakirati Apple iOS na Pwn2Own natječaju koje se održava tijekom sigurnosne konferencije EUSecWest u Amsterdamu. Nizozemski Certified Secure tim osvojio je nagradu od 30.000 dolara za iskorištavanje “zero-day” ranjivost u iOS 5.1.1 i “Golden master” u iOS 6, sa kojim su uspjeli zaobići Apple-ov zahtijev za upisivanje koda, kao i Safari Sandbox, omogućujući napadaču da sa Appple uređaja ukrade slike, video, kontakate i povijest pregledavanja.
Ova ranjivost je uspješno testirana na iPhone 4S, iPhone 4, iPad i iPod touch. No, ova ranjivost ne odnosi se samo na ove uređaje. Nizozemski tim navodi da su se sa razlogom odlučili za ovu ranjivost jer je ona prisutna u iOS 6, što znači da je i novi iPhone osjetljiv na napade ove vrste.
Joost Pol i njegov kolega Daan Keuper navode da im je trebalo oko tri tjedna da razviju WebKit browser exploit te da su to radili u svoje slobodno vrijeme. Pored ostalih nagrada oni su osvojili i 30.000 dolara za dokazivanje ove ranjivosti. Joost Pol, koji je izvršni direktor Certified Secure i pored svega smata da je iPhone još uvijek najsigurniji pametni telefon koji se može pronaći na tržištu.
Treba reći i da je Britanski tim sigurnonih istraživača također prikazao dve prethodno neotkrivene ranjivosti u Android 4.0.4 hakirajući Samsung Galaxy S3.
Mi smo pokazali da je kroz NFC moguće prenijeti zlonamjerne datoteke na uređaj, što nam je omogućilo da izvršimo kod na uređaju a potom i da dobijemo potpunu kontrolu nad uređajem pomoću druge ranjivosti za eskalaciju privilegija,
priopćio je MWR Labs.
MWR Labs je koristio dvije ranjivosti od kojih prva uzrokuje korupciju memorije kako bi se dobila ograničena kontrola na pametnim telefonom a nakon toga koriste drugu za eskaliranje privilegija i upad u sandbox. To im je dalo mogućnost da instaliraju Mercury, njihov specifični Android okvir, a zatim da ekstraktuju korisničke podatke iz uređaja, kao što su SMS i kontakt informacije, kao i da upućuju pozive s telefona.
Britanski MWR Labs također je na Pwn2Own natječaju osvojio nagradu od 30.000 dolara.