Pwn2Owwn là cuộc thi tấn công (hacking) tổ chức tại hội nghị bảo mật CanSecWest thường niên ở Vancouver (Canada). Mục tiêu của cuộc thi là khai thác các trình duyệt và thiết bị di động, giành toàn quyền kiểm soát hệ thống.
Năm nay, Vupen – nhóm từng hack thành công trình duyệt Safari năm 2011 – đã nhòm ngó Chrome sau khi phác thảo kế hoạch tấn công trong 6 tuần. Nhóm tận dụng 2 lỗ hổng zero-day và trang web “mồi” được cài đặt suốt quá trình tấn công.
Một khi máy tính ghé thăm trang web này, quá trình khai thác lỗ hổng diễn ra và ứng dụng mở rộng (add-on) Chrome ngoài sandbox từ đó chứng minh rằng hacker hoàn toàn có thể kiểm soát cả hệ thống Windows 7 64-bit.
Vupen trước đây từng tung đoạn clip “crack” Chrome nhưng bị Google phủ nhận, cho rằng các tin tặc đã dùng lỗ hổng tìm thấy trong mã của bên thứ ba như Flash.
Vupen không tiết lộ cách họ dành được quyền kiểm soát hệ thống, nhưng nhấn mạnh đã tấn công phiên bản mặc định của trình duyệt. Vì Flash được cài đặt sẵn trong Chrome, họ có thể dùng cách khai thác tương tự.
Dù Chrome đã bị khai thác trong sự kiện năm nay, đồng sáng lập Vupen Chaoki Bekrar vẫn ca ngợi “sandbox Chrome là sanbox bảo mật nhất trên thị trường. Đó là nhiệm vụ không hề dễ dàng để vượt qua mọi lớp bảo vệ trong sandbox”.
và quét mã QR
Bình luận (0)