La conférence CanSecWest sur la sécurité informatique a débuté à Vancouver au Canada avec en marge son désormais traditionnel concours de hacking organisé par la société TippingPoint :  Pwn2Own. Dans le cadre de ce concours, des hackers ( chapeaux blancs ) s'affrontent avec des récompenses à la clé pour ceux qui seront les plus prompts à exploiter des vulnérabilités afin de s'introduire dans des appareils cibles ( pour un contrôle à distance ; sans accès physique à la machine ).

Pour le premier jour de ce concours, les dernières versions des navigateurs Web Internet Explorer, Firefox, Google Chrome et Safari ont été associées aux systèmes d'exploitation Windows 7 et Mac OS X Snow Leopard ( pour Safari ). À la clé, 10 000 $ par cible et pour but d'analyser les niveaux de sécurité actuels des associations navigateurs Web / OS leaders du marché. Le cas échéant, les vulnérabilités exploitées avec succès ne sont pas dévoilées publiquement, et l'éditeur a tout loisir de les combler.

Comme l'année dernière, les navigateurs Web en présence ont failli à l'exception de Google Chrome, mais pour la bonne et simple raison que ce dernier n'a dû subir aucun assaut. En 2009, Charlie Miller avait indiqué que si des vulnérabilités existent bel et bien dans Google Chrome, elles sont difficiles à exploiter, avec outre le modèle de sandbox, les protections de l'OS à contourner.

C'est ce même Charlie Miller, analyste américain en sécurité chez Independent Security Evaluators, qui une fois de plus a été le premier à exploiter avec succès une vulnérabilité dans Safari sur un MacBook Pro avec Mac OS X 10.6. Un équipement qu'il remporte au passage. L'ordinateur cible a été compromis suite à la visite d'un site Web hébergeant un code malveillant.

Peter Vreugdenhil, chercheur en sécurité indépendant hollandais, a pour sa part réussi à exploiter une vulnérabilité ( deux en réalité ) dans Internet Explorer 8 sous Windows 7, et a donc contourné les technologies de protection DEP ( Data Execution Prevention ) et ASLR ( Address Space Layout Randomization ) de l'OS.

De même pour un certain Nils, responsable de recherche pour MWR InfoSecurity ( société basée au Royaume-Uni ), qui a réussi pareil " exploit " via Firefox sous Windows 7. Il a indiqué avoir exploité une vulnérabilité de corruption de mémoire dans Firefox, et donc avoir également contourné ASLR et DEP. Un problème sur lequel Microsoft va devoir se pencher. L'année dernière, Nils était étudiant en Allemagne et avait mis au jour des exploits dans IE8, Safari et Firefox.


L'iPone aussi
Vincenzo Iozzo et Ralf Philipp Weinmann, de la société allemande Zynamics et de l'Université du Luxembourg, vont eux se partager 15 000 $ pour avoir écrit un exploit destiné à voler les contenus d'une base de données SMS sur un iPhone, via une redirection vers un site Web piégé.

Il faut sans doute rappeler qu'il s'agit là d'un concours avec des experts de haut niveau qui avaient déjà préparé leur coup en amont.