Gehackt: Apple MacBook Air [Update]

Beim Hack-Wettbewerb PWN2OWN auf der Sicherheitskonferenz CanSecWest im kanadischen Vancouver ist das MacBook Air mit Leopard-Betriebssystem durchgefallen. Andere Betriebssysteme halten noch stand.

Das Update finden Sie am Ende des Artikels

Dem als iPhone-Hacker bekannt gewordenen Charlie Miller gelang es am zweiten Tag des Wettbewerbs, dass MacBook Air innerhalb von 30 Minuten zu übernehmen. An diesem Wettbewerbstag durfte Miller nur Sicherheitslücken von vorinstallierter Software des Notebooks ausnutzen. Nach Augenzeugenberichten gelangte er durch eine Lücke im Safari-Browser auf das MacBook Air. Als Preis darf er das MacBook Air behalten und bekommt zusätzlich 10.000 Dollar. Sein genaues Vorgehen darf er erst öffentlich machen, wenn die Sicherheitslücke von Apple geschlossen ist.

Der PWN2OWN-Wettbewerb läuft insgesamt über drei Tage. Den Bemühungen der Hacker müssen sich ein Sony Vaio-Notebook mit Ubuntu 7.10, ein Fujitsu-Laptop mit Windows Vista Ultimate und das MacBook Air mit Leopard 10.5.2 stellen. Gelingt es einem Hacker das Betriebssystem zu knacken und das Notebook von außen zu kontrollieren, darf er nicht nur den Laptop behalten, sondern bekommt zusätzlich ein Preisgeld. Am ersten Tag sind es 20.000 Dollar, am zweiten 10.000 und am dritten immerhin noch 5.000 Dollar.

Auch ein Mac kann gehackt werden.

Mit jedem Wettbewerbstag dürfen die Teilnehmer des Wettbewerbs weitere Hilfsmittel benutzen. Am ersten Tag sind nur Attacken aus dem Netz gegen die Notebooks erlaubt. Ziel ist es, eine bestimmte Text-Datei auszulesen. Am zweiten Tag dürfen Schwachstellen der mitgelieferten Software der Betriebssysteme genutzt werden, um eine Benutzerinteraktion wie das Anklicken eines Links in einer E-Mail oder das Versenden einer Messenger-Nachricht durchzuführen. Am dritten Tag, also am heutigen Freitag, dürfen auch Programme von Drittherstellern installiert werden, um deren Sicherheitslücken ausnutzen.

Update: Vista-Notebook auch gehackt, nur Ubuntu blieb unversehrt

Am dritten Tag hielt auch das Fujitsu-Notebook mit Windows Vista Ultimate SP1 den Angriffen nicht mehr stand. Über eine bisher unbekannte Lücke in der neuesten Version von Adobe Flash konnte Shane Macaulay von Security Objectives den Laptop kompromittieren. Die Lücke in der Software wurde an Adobe gemeldet und wird frühestens bekannt gegeben, nachdem sie behoben ist.
Nur das Vayo-Notebook von Sony mit Ubuntu 7.10 blieb bis zum Ende des Wettbewerbs ungehackt.