Bucati! 0-Day trovato in iPhone X, Samsung Galaxy S9, Xiaomi Mi6 - Hack Mur@Z

Breaking

venerdì, novembre 16, 2018

Bucati! 0-Day trovato in iPhone X, Samsung Galaxy S9, Xiaomi Mi6



Richard Zhu and Amat Cama (Team Fluoroacetate)

Al concorso di hacking mobile Pwn2Own 2018 tenutosi a Tokyo il 13-14 novembre, degli hacker "bianchi" hanno dimostrato ancora una volta che anche gli smartphone completamente patchati che eseguono l'ultima versione del software dei più popolari produttori di smartphone possono essere hackerati.

Tre dei principali smartphone di punta - iPhone X, Samsung Galaxy S9 e Xiaomi Mi6 - sono stati tra i dispositivi che sono stati violati con successo al concorso annuale di hacking mobile organizzato da Trend Micro Zero Day Initiative (ZDI), il team di white hat hacker ha ricevuto un totale di $325.000 in ricompensa.

Squadre di hacker provenienti da diversi paesi o in rappresentanza di diverse società di sicurezza informatica hanno rivelato un totale di 18 vulnerabilità zero-day nei dispositivi mobili di Apple, Samsung e Xiaomi, oltre a exploit artigianali che hanno permesso loro di rilevare completamente i dispositivi in questione.

Apple iPhone X Running iOS 12.1 - HACKERATO!

Un team di due ricercatori, Richard Zhu e Amat Cama, che si chiamano Fluoroacetato, hanno scoperto e sono riusciti a sfruttare un paio di vulnerabilità in un Apple iPhone X completamente patchato su Wi-Fi.

Il duo ha combinato una vulnerabilità just-in-time (JIT) nel browser web iOS (Safari) con un bug di scrittura fuori campo per la sandbox escape e l'escalation per estrarre i dati dall'iPhone con iOS 12.1.
Per la loro dimostrazione, la coppia ha scelto di recuperare una foto che era stata recentemente cancellata dall'iPhone di destinazione, che sicuramente è stata una sorpresa per la persona nella foto. La ricerca ha fruttato loro 50.000 dollari in premi in denaro.


Fluoroacetato Team ha anche tentato di sfruttare la banda base su iPhone X, ma non poteva ottenere il loro exploit di lavoro nel tempo assegnato.
Un altro team di ricercatori di MWR Labs (una divisione di F-Secure), che comprendeva Georgi Geshev, Fabi Beterke e Rob Miller, ha preso di mira anche l'iPhone X nella categoria dei browser, ma non è riuscito a far funzionare il loro exploit entro il tempo assegnato.
ZDI ha detto che acquisirà queste vulnerabilità attraverso il suo programma generale ZDI.

Samsung Galaxy S9 - Anche, HACKERATO!


Oltre all'iPhone X, il team di Fluoroacetate ha anche violato il Samsung Galaxy S9 sfruttando una vulnerabilità di overflow di memoria nel componente della banda base del telefono e ottenendo l'esecuzione del codice. Il team ha guadagnato 50.000 dollari in premi in denaro per l'emissione.

Xiaomi Mi6 — Yes, This Too GOT HACKERATO!

Il fluoroacetato non si è fermato qui. Il team è riuscito anche a sfruttare con successo il portatile Xiaomi Mi6 tramite NFC (Near-field Communications).

La vulnerabilità ha fatto guadagnare al team del Fluoroacetato 30.000 dollari in premi in denaro.
Il secondo giorno del concorso, il team Fluoroacetate ha anche utilizzato con successo una vulnerabilità di overflow intero nel motore JavaScript del browser web dello smartphone Xiaomi Mi6 che ha permesso loro di estrarre un'immagine dal dispositivo.
Il bug ha fruttato loro altri 25.000 dollari.


Georgi Geshev, Fabi Beterke, and Rob Miller (MWR Labs)