Pwn2own: 2 failles 0-day exploitées dans Safari, Réactions à la publication du 16/03/2017 |
Bienvenue invité ( Connexion | Inscription )
Pwn2own: 2 failles 0-day exploitées dans Safari, Réactions à la publication du 16/03/2017 |
16 Mar 2017, 15:56
Message
#1
|
|
BIDOUILLE Guru Groupe : Admin Messages : 55 342 Inscrit : 14 Jan 2001 Lieu : Paris Membre no 3 |
Comme chaque année le concours de hacking Pwn2own a permis à des hackers de prouver leur savoir-faire pour prendre le contrôle de machines dans le système d'exploitation le plus récent disponible et sans adjonction de logiciels tiers.
A ce jeu, des failles 0-day ont été démontrées dans Safari. Dans les deux cas elles ont permis une fois exploitées de prendre le contrôle de la machine avec des privilèges d'administrateur. Ces failles n'ont pas été rendues publiques mais elles ont en revanche été communiquées à Apple afin d'être comblées dans les plus brefs délais. Lien vers le billet original -------------------- C'est parce que la vitesse de la lumière est plus grande que celle du son que tant de gens paraissent brillants avant d'avoir l'air con
|
|
|
16 Mar 2017, 16:18
Message
#2
|
|
Macbidouilleur d'Or ! Groupe : Membres Messages : 7 010 Inscrit : 24 Jan 2014 Lieu : La Vienne Membre no 189 026 |
j'ai peut-être mal compris, mais sur le site ils parlent d'un demi-succès pour avoir réussi à laisser un message sur la touchbar
"11:30am - Samuel Groß (@5aelo) and Niklas Baumstark (_niklasb) targeting Apple Safari with an escalation to root on macOS PARTIAL SUCCESS: In a partial win, Samuel Groß (@5aelo) and Niklas Baumstark (@_niklasb) earn some style points by leaving a special message on the touch bar of the Mac. They used a use-after-free (UAF) in Safari combined with three logic bugs and a null pointer dereference to exploit Safari and elevate to root in macOS. They still managed to earn $28,000 USD and 9 Master of Pwn points." ce qui d'ailleurs n'enlève pas au fait qu'ils sont passés et que l'autre faille est totale. Sinon, en général, on voit qu'ubuntu, microsoft edge ou acrobat reader (qui en serait surpris) sont eux aussi tombés -------------------- ——
Çà c'est ma création, un podcast associatif racontant une histoire de SF : http://reduniverse.fr La plus grande saga galactique jamais racontée en podcast :) Tout homme qui dirige, qui fait quelque chose, a contre lui ceux qui voudraient faire la même chose, ceux qui font précisément le contraire et surtout la grande armée des gens d'autant plus sévères qu'ils ne font rien du tout. JULES CLARETIE |
|
|
16 Mar 2017, 16:48
Message
#3
|
|
Macbidouilleur de vermeil ! Groupe : Membres Messages : 1 253 Inscrit : 28 Mar 2011 Membre no 165 999 |
Sinon, en général, on voit qu'ubuntu, microsoft edge ou acrobat reader (qui en serait surpris) sont eux aussi tombés C'est assez logique : les préoccupations de sécurité par les grandes boites sont arrivées assez tard dans l'histoire de l'informatique. Parallèlement les OS et applications utilisent de plus en plus de code, de plus en plus de sur-couche d'API en multipliant ainsi les points d'entrées. On considère que chez MS, il a un bug tout les 2000 lignes de code (ce qui est déjà très bon)... MS office doit contenir plusieurs millions de ligne de code... Firefox c'est 15,585,541 lignes de code... 15 Millions pour le kernel linux... Ce message a été modifié par __otto__ - 16 Mar 2017, 16:48. -------------------- Je suis plus Charlie depuis que
je suis écouté Mac Plus, SE 30, mac si, mac ci,mac lc (1,2,3,4), ppc (presque toutes les machines sauf les G5), imac 2011, macbook pro 2012 i7 3.4ghz, 16 go ram, ssd 512 Mo, 1 To HDD, GTX 1080 + GTX 980 histoire de dire, bref un pulvérisateur de mac pro! Et mon nouveau beau joujou : 2080 Core + 260 NVIDIA TESLA K20X 4,1 To de RAM et quelques centaines de To stockage! et accessoirement ça chauffe bien! |
|
|
16 Mar 2017, 19:06
Message
#4
|
|
Macbidouilleur d'Or ! Groupe : Membres Messages : 7 010 Inscrit : 24 Jan 2014 Lieu : La Vienne Membre no 189 026 |
Firefox c'est 15,585,541 lignes de code... 15 Millions pour le kernel linux... autant de lignes de codes dans firefox que dans le kernel linux ? -------------------- ——
Çà c'est ma création, un podcast associatif racontant une histoire de SF : http://reduniverse.fr La plus grande saga galactique jamais racontée en podcast :) Tout homme qui dirige, qui fait quelque chose, a contre lui ceux qui voudraient faire la même chose, ceux qui font précisément le contraire et surtout la grande armée des gens d'autant plus sévères qu'ils ne font rien du tout. JULES CLARETIE |
|
|
16 Mar 2017, 22:49
Message
#5
|
|
Macbidouilleur de vermeil ! Groupe : Membres Messages : 949 Inscrit : 20 Mar 2003 Membre no 6 760 |
Mais, y a pas des sandbox autour de programmes comme les browser en principe.
? |
|
|
17 Mar 2017, 09:19
Message
#6
|
|
Macbidouilleur d'Or ! Groupe : Membres Messages : 1 827 Inscrit : 11 Apr 2012 Membre no 175 864 |
|
|
|
17 Mar 2017, 13:57
Message
#7
|
|
Macbidouilleur d'Or ! Groupe : Membres Messages : 1 894 Inscrit : 29 Dec 2006 Lieu : Lyon Membre no 76 813 |
Firefox c'est 15,585,541 lignes de code... 15 Millions pour le kernel linux... autant de lignes de codes dans firefox que dans le kernel linux ? J'aurais plutôt dit : Autant de lignes de codes dans firefox que dans Office ?? On considère que chez MS, il a un bug tout les 2000 lignes de code (ce qui est déjà très bon)... Ça fait déjà beaucoup, non ? Pour des développeurs censés être "chevronnés"...
-------------------- L'ipod ne peut fonctionner qu'avec Itunes...
Itunes fonctionne bien mieux sous mac que sous windows... C'est pourquoi j'ai installé Mac OS sur mon pc... MacBook Pro 15" Intel Core i7 2.5GHz Mi 2015 MacBook Pro 15" Intel Core i7 2.3GHz Février 2011 (en pré-retraite) |
|
|
17 Mar 2017, 22:16
Message
#8
|
|
Nouveau Membre Groupe : Membres Messages : 30 Inscrit : 19 Feb 2016 Membre no 198 124 |
Si j'ai bien compris, en profitant uniquement de plusieurs failles sur Safari ,ils arrivent a rentrer dans n'importe quel mac et contrôler la machine avec les mêmes droits qu'un compte administrateur ? Ils peuvent faire ça sans même une faute de l'utilisateur comme ouvrir un fichier inconnu contenant un worm ou trojan , installer des apps tipiak , se connecter à des réseaux inconnus sans aucune sécurité ou utiliser des passwords débiles etc.. ?
Comment peut on se protéger même partiellement contre ce type de hack ? |
|
|
17 Mar 2017, 22:51
Message
#9
|
|
Macbidouilleur d'Or ! Groupe : Membres Messages : 7 010 Inscrit : 24 Jan 2014 Lieu : La Vienne Membre no 189 026 |
Si j'ai bien compris, en profitant uniquement de plusieurs failles sur Safari ,ils arrivent a rentrer dans n'importe quel mac et contrôler la machine avec les mêmes droits qu'un compte administrateur ? Ils peuvent faire ça sans même une faute de l'utilisateur comme ouvrir un fichier inconnu contenant un worm ou trojan , installer des apps tipiak , se connecter à des réseaux inconnus sans aucune sécurité ou utiliser des passwords débiles etc.. ? Comment peut on se protéger même partiellement contre ce type de hack ? ben il faut passer par un site spécialement formaté donc là, on peut penser arnaque au pishing, sites "bizarres", etc... Maintenant rassurez-vous, ca existe depuis les débuts d'internet -------------------- ——
Çà c'est ma création, un podcast associatif racontant une histoire de SF : http://reduniverse.fr La plus grande saga galactique jamais racontée en podcast :) Tout homme qui dirige, qui fait quelque chose, a contre lui ceux qui voudraient faire la même chose, ceux qui font précisément le contraire et surtout la grande armée des gens d'autant plus sévères qu'ils ne font rien du tout. JULES CLARETIE |
|
|
Nous sommes le : 24th April 2024 - 05:23 |