Au deuxième jour, le concours de hacking Pwn2Own s'est tourné du côté des smartphones. Après les navigateurs Web installés sur des machines Mac OS X Snow Leopard et Windows 7, des smartphones ont ainsi dû passer l'épreuve du feu.

Fonctionnant sous iOS 4.2.1, l'iPhone 4 n'a pas résisté à l'attaque de Charlie Miller ( un habitué du concours qui enchaîne les victoires ) élaborée avec son compère Dion Blazakis de la société Independent Security Evaluators.

Charlie Miller a expliqué à ZDNet que l'attaque a nécessité la consultation d'un site Web piégé. Une faille dans Safari Mobile a été exploitée afin de voler les contacts du carnet d'adresses de l'iPhone. L'exploit a contourné la protection DEP ( Data Execution Prevention ), mais cela n'a été possible qu'après plantage du navigateur puis son redémarrage.

La teneur exacte de la vulnérabilité exploitée est tenue secrète. Le sponsor du concours, TippingPoint, va la communiquer à Apple qui disposera de six mois pour une correction avant divulgation publique. La firme à la pomme a toutefois livré cette semaine une mise à jour 4.3 d'iOS face à laquelle l'exploit de Charlie Miller se casse les dents. Apple a en effet ajouté une autre couche de protection : ASLR ( Address Space Layout Randomization ).

ASLR aide à empêcher les attaquants à avoir accès à des adresses mémoire connues ( prédites ) pour les utiliser dans des dépassements de tampon, tandis que DEP aide à déjouer des attaques en empêchant du code malveillant d'être exécuté dans la mémoire non-exécutable

DEP et ASLR sont des mesures que l'on retrouve dans Mac OS X et les dernières versions de Windows. Elles ont déjà pu être contournées. Néanmoins, Charlie Miller estime que la partie devient très ardue avec iOS 4.3. Pour leur exploit, Charlie Miller et Dion Blazakis ont gagné les 15 000 $ de prix et sont repartis avec l'iPhone 4.

La victime suivante a été un Blackberry Torch 9800 fonctionnant sous Blackberry 6 OS. Une équipe internationale ( Vincenzo Iozzo, Willem Pinckaers, Ralf Philipp Weinmann ) a exploité plusieurs vulnérabilités présentes dans WebKit. L'exploit n'a pas été des plus aisés à élaborer dans la mesure où peu de choses utiles en la matière sont connues sur le système de BlackBerry.

L'équipe est partie du principe qu'il y avait un navigateur et une machine virtuelle Java, et qu'il fallait s'en servir pour pénétrer plus loin dans le système. Par contre, pas de protection ASLR ou DEP à contourner. Elles devraient faire leur apparition dans de prochaines versions de BlackBerry.


Des désistements de dernière minute
Le concours n'est pas allé au-delà. Les participants en lice pour le Dell Venue Pro sous Windows Phone 7 et le Nexus S sous Android ne se sont pas présentés. Des exploits pas suffisamment fiables probablement, mais quand on voit également que sur la liste des engagés pour le Dell Venue Pro, il y avait un certain George Hotz, on peut comprendre que ce dernier a actuellement d'autres chats à fouetter compte tenu de ses déboires judiciaires avec Sony et le jailbreak de la PS3.

Il reste encore un jour de concours pour Pwn2Own mais les choses devraient en rester en l'état. Au premier jour, les navigateurs Safari sous Mac OS X et Internet Explorer 8 sous Windows 7 sont tombés. Cela n'a pas été le cas de Google Chrome puisque personne n'a relevé le challenge. De même pour Firefox 3.6, le concurrent s'est retiré.

Source : Zero Day (ZDNet)