Windows 10 vuelve a caer, con Chrome y Zoom, en el Pwn2Own

abril 09, 2021 , 0 Comments

Hacker anonymous

Estos días está teniendo lugar la Pwn2Own, una competición en la que los mejores hackers e investigadores de seguridad compiten por encontrar y explotar vulnerabilidades en los sistemas operativos y programas de uso diario. Todos estos fallos detectados son reportados a las empresas responsables, quienes tienen 90 días para solucionarlos antes de publicar los detalles técnicos sobre los mismos. Los hackers e investigadores, por supuesto, consiguen decenas de miles de dólares en premios por encontrar y explotar estos fallos.

Ayer mismo os contamos cómo, durante el primer día de la competición, los hackers encontraron un fallo de seguridad grave en Windows 1o que permitía a cualquier usuario conseguir permisos de SYSTEM en el equipo. Además, también se encontraron fallos graves en otros puntos del sistema, como en Exchange, el servidor de correo de Microsoft para empresas, o Teams, la plataforma de mensajería profesional de la compañía.

Ahora, en el segundo día de competición, Windows 10 ha vuelto a caer. Aunque, para bien o para mal, no ha sido el único en hacerlo.

Nuevos programas hackeados en el segundo día del Pwn2Own 2021

Una vez más, Windows 10 ha caído frente a estos hackers. El sistema operativo de Microsoft tiene nuevos fallos graves que permite a cualquiera ganar el nivel de privilegios SYSTEM desde cualquier usuario normal sin privilegios. Este tipo de fallos puede ser muy grave si tenemos en cuenta que se puede utilizar, por ejemplo, para que un malware tome el control total del sistema y pase incluso por encima del antivirus. Los investigadores que han dado con este fallo han recibido un total de 40.000 dólares.

Otros investigadores han conseguido hackear también la seguridad de Chrome y cualquier navegador basado en Chromium (como Edge). El motor de los navegadores tiene un fallo del tipo Type Mismatch, el cual, por ser descubierto, ha hecho ganar a estos hackers 100.000 dólares.

Zoom Messenger, una de las plataformas que más popularidad ganó en 2020 con la pandemia y el teletrabajo, también ha caído víctima de investigadores de seguridad. Combinando tres fallos diferentes, estos hackers han conseguido crear un exploit que no requiere intervención por parte del usuario con el que ejecutar código sin permiso en el sistema. La recompensa por este fallo: ni más ni menos que 200.000 dólares.

Parallels Desktop, el software de virtualización de macOS, también ha caído en este segundo día, así como Ubuntu, que por segunda vez, muestra un fallo de seguridad grave que puede permitir a cualquier usuario convertirse en root.

A por el tercer día de la competición: ¿volverán a caer los mismos?

Ahora, los hackers ya se preparan para el tercer día de la Pwn2Own. En esta tercera sesión, estos investigadores de seguridad volverán a ir a por Windows y Exchange, dos de los productos que, según parece, están menos cuidados por parte de Microsoft. Además, también van a intentar encontrar nuevas debilidades en otras plataformas, como Ubuntu y Parallels Desktop.

Tan solo durante los dos primeros días de competición se han repartido más de 1 millón de dólares en recompensas. Y aún queda lo más fuerte.

Por ahora, no tenemos de qué preocuparnos. Recordamos que los desarrolladores disponen de 90 días para corregir los fallos de seguridad, y mientras tanto, toda la información permanecerá en secreto. Una vez agotado ese tiempo, los fallos se harán públicos, y es entonces cuando aparecerán los problemas.



Fuente: SoftZone https://ift.tt/31VNp7w Autor: Rubén Velasco