Sáng kiến Zero Day của HP từ năm 2007 đã khởi nguồn cho Pwn2Own – Cuộc thi được tổ chức hàng năm giành cho các Hacker. Pwn2Own 2018 vừa chính thức khai mạc và trong ngày đầu tiên của cuộc thi, trình duyệt Safari của Apple bị các hacker hạ gục đầu tiên.
Bắt đầu từ năm 2007, Pwn2Own là một cuộc thi thường niên do chương trình Sáng kiến Zero Day của HP cùng một số nhà nghiên cứu bảo mật, hacker mũ trắng tài trợ với mục đích nhằm tạo sân chơi cho các hacker trên khắp thế giới. Trong cuộc thi, các hacker sẽ cố gắng khai thác các lỗ hổng bảo mật, bẻ khóa các phần mềm và hệ điều hành phổ biến hiện tại để biểu diễn tài năng, đồng thời cũng là để thông báo về những lỗi bảo mật cần khắc phục cho các nhà phát triển trình duyệt.
Tổng giải thưởng của Pwn2Own 2018 lên tới 2 triệu USD. Trong ngày đầu tiên của Pwn2Own 2018 hacker tập trung vào khai thác lỗ hổng bảo mật trên các trình duyệt phổ biến.
Trình duyệt Safari của Apple bị các hacker hạ gục đầu tiên. Trong lần thử thứ hai, nhà nghiên cứu bảo mật Samuel Groß đã hack thành công Safari bằng cách kết hợp lỗi tối ưu hóa JIT, ghi đè nhân và lỗi logic của macOS. Groß được thưởng 65.000 USD sau thành công này.
Tại Pwn2Own năm ngoái, chính Groß đã lợi dụng lỗ hổng bảo mật và hack thành công Safari sau đó truy cập sâu vào macOS và chiếm quyền điều khiển TouchBar trên MacBook Pro. Năm nay, sau khi hoàn thành việc hack Safari Groß, cũng để lại lời nhắn trên TouchBar giống như năm ngoái.
Trước đó, nhà nghiên cứu bảo mật Richard Zhu cũng cố gắng hack Safari, Zhu từng bẻ khóa được iPhone 7 tại sự kiện Mobile Pwn2Own năm ngoái. Tuy nhiên, năm nay Zhu đã không thể hack Safari trong thời hạn 30 phút.
Richard Zhu cố gắng hack Safari.
Trong lần thử thứ hai, Zhu chuyển sang tấn công Microsoft Edge với một nhân EoP Windows. Trong nỗ lực ấy, anh đã debug phương thức khai thác của mình ngay trước đám đông khi nó không hoạt động. Zhu hack thành công Microsoft Edge trong lần thử thứ ba khi chỉ còn 1 phút 37 giây và nhận được 70.000 USD tiền thưởng.
Trong ngày thứ hai, Mozilla Firefox và Apple Safari sẽ là mục tiêu của các nhà nghiên cứu bảo mật. Một số nhà nghiên cứu đã bỏ cuộc sau khi bản cập nhật hồi đầu tuần này đã vá rất nhiều vấn đề bảo mật. Số lỗ hổng bảo mật được vá trên các sản phẩm của Microsoft lên tới 75.
Theo Thezdi, Appleappleinsider
