Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Buscador

Entradas Mensuales

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Foro de elhacker.net - Noticias

elhacker.NET en Facebook

Entradas populares

PostHeaderIcon Mozilla corrige una vulnerabilidad de Firefox 22 horas después de ser descubierta en Pwn2Own




Los ingenieros de Mozilla han publicado Firefox 52.0.1 para corregir una fallo de seguridad que salió a la luz el pasado viernes, en el concurso de hacking Pwn2Own edición 2017. En total, los ingenieros de Mozilla tardaron 22 horas desde el momento en que se utilizó el error durante el concurso, el viernes 17 de marzo, y cuando Mozilla publicó Firefox 52.0.1.




La vulnerabilidad (CVE-2017-5428) fue descubierta y utilizada con éxito por el Chaitin Security Research Lab de Beijing, China, que explotó Firefox con un desbordamiento de enteros y escaló privilegios a través de un buffer no inicializado en el kernel de Windows, para obtener privilegios a nivel de sistema. Los investigadores ganaron $ 30,000 por su cadena de explotación.


Chaitin Security Research Lab (@ChaitinTech) targeting Mozilla Firefox with a SYSTEM-level escalation
SUCCESS: The Chaitin Security Research Lab (@ChaitinTech) team finish their Pwn2Own by exploiting Firefox with an integer overflow and escalating privileges through uninitialized buffer in the Windows kernel.

Bug descubierto durante la competición en Pwn2Own


La competición de Pwn2Own es organizada cada año por Trend Micro, a través de su grupo Zero Day Initiative (ZDI). Este año fue la décima edición de Pwn2Own, y Trend Micro estaba preparado para ofrecer hasta $ 1 millón en premios de dinero.

integer overflow in createImageBitmap()

Announced
March 17, 2017
Impact
critical
Products
Firefox, Firefox ESR
Fixed in
  • Firefox 52.0.1
  • Firefox ESR 52.0.1

#CVE-2017-5428: integer overflow in createImageBitmap()

Reporter
Chaitin Security Research Lab via Trend Micro's Zero Day Initiative
Impact
critical
Description
An integer overflow in createImageBitmap() was reported through the Pwn2Own contest. The fix for this vulnerability disables the experimental extensions to the createImageBitmap API. This function runs in the content sandbox, requiring a second vulnerability to compromise a user's computer.
References


Después de tres días de competición, se repartieron en total  $ 833.000 de dinero en dólares. El Chaitin Security Research Lab, el equipo que descubrió el día cero de Firefox, terminó tercero detrás del equipo de 360 Seguridad de Qihoo y el Equipo de Sniper de Tencent Security.



Team

Points
360 Security 63
Tencent Security – Team Sniper (Keen Lab and PC Mgr) 60
Chaitin Security Research Lab 26
Tencent Security – Team Lance 13
Tencent Security – Team Ether 10
Samuel Groß and Niklas Baumstark 9


Este año, los participantes hackearon Windows, Windows Server, MacOS, Ubuntu, Adobe Reader, Adobe Flash Player, Microsoft Edge, Safari, Firefox y VMWare.


Los investigadores logran "escape completo de la máquina virtual"


El exploit más creativo generó a los investigadores 105.000 dólares de una sola vez. Los investigadores de Qihoo 360 utilizaron un sitio web malicioso para desencadenar un desbordamiento de heap en Edge para escalar el acceso al sistema operativo Windows subyacente, donde utilizaron un error de confusión de tipo para obtener privilegios de kernel, que luego utilizaban para explotar un búfer no inicializado y escapar de VMWare Workstation (Máquina virtual), obteniendo control sobre el servidor / máquina subyacente.

Fuente:
https://www.bleepingcomputer.com/news/security/it-took-mozilla-22-hours-to-patch-a-firefox-vulnerability-discovered-at-pwn2own/

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.