Schon am ersten Tag des Hacker-Wettbewerbs Pwn2Own Berlin 2025 haben Hacker mehr als eine Viertelmillion US-Dollar an Preisgeldern gewonnen,
wie zerodayinitiative.com berichtet. In der Kategorie Local Privilege Escalation fiel als erstes Red Hat Enterprise Linux for Workstations: Das Devcore Research Team (unter dem Namen "Pumpkin") nutzte eine Integer-Overflow-Schwachstelle aus und kassierte dafür 20'000 Dollar.
Auch Hyunwoo Kim und Wongi Lee verschafften sich Root-Rechte auf einem Red Hat-System. Sie kombinierten eine Use-after-free-Schwachstelle mit einem Information Leak. Einer der verwendeten Fehler war jedoch ein sogenannter "N-Day" – also bereits bekannt, was zu einer Bug-Kollision führte. Anschliessend zeigte Chen Le Qi von Star Labs SG eine Exploit-Kette für Windows 11, die Use-after-free mit Integer Overflow kombinierte – und so Systemrechte erlangte. Dafür gab es 30'000 Dollar.
Zwei weitere erfolgreiche Angriffe auf Windows 11 demonstrierten Marcin Wiązowski, der eine Out-of-bounds Write-Schwachstelle ausnutzte, sowie Hyeonjin Choi, der einen bisher unbekannten Type Confusion-Zero-Day präsentierte. Team Prison Break erhielt 40'000 Dollar für eine Exploit-Kette, bei der ein Integer Overflow genutzt wurde, um aus
Oracle VirtualBox auszubrechen und Code im zugrunde liegenden Betriebssystem auszuführen.
Sina Kheirkhah vom Summoning Team wurde mit 35'000 Dollar belohnt – für einen Zero-Day in Chroma und eine bekannte Schwachstelle im Nvidia Triton Inference Server. Billy und Ramdhan von Star Labs SG sicherten sich 60'000 Dollar für den erfolgreichen Ausbruch aus Docker Desktop. Sie nutzten dafür eine bislang unbekannte Use-after-free-Schwachstelle, um Code auf dem Host-System auszuführen.
Technische Details zu den Angriffen und ausgenutzten Sicherheitslücken werden jeweils vorerst unter Verschluss gehalten, um den Herstellern der jeweiligen Produkte noch Zeit zum Liefern von Patches zu geben.
Parallel zur Pwn2Own findet in Berlin am 16. und 17. Mai die Sicherheitskonferenz
OffensiveCon statt.
(spf)
