Zeroday-Cloud-Hacking-Event zahlt 320.000 US-Dollar für 11 Zero-Day-Schwachstellen

Das Zeroday-Cloud-Hacking-Event zeigte, wie fragil moderne Cloud-Infrastrukturen sein können, wenn kritische Komponenten nicht ausreichend geprüft werden. Während des Live-Wettbewerbs erhielten Sicherheitsforscher insgesamt 320.000 US-Dollar, nachdem sie 11 zuvor unbekannte Zero-Day-Schwachstellen demonstriert hatten, die weit verbreitete Cloud- und Open-Source-Technologien betrafen.

Woran sich das Zeroday-Cloud-Hacking-Event orientiert

Zeroday Cloud ist ein Live-Sicherheitswettbewerb, der darauf ausgelegt ist, die Technologien einem Stresstest zu unterziehen, die das Fundament des Cloud-Computings bilden. Im Gegensatz zu klassischen Hacking-Wettbewerben richtet sich das Event gezielt auf reale Infrastrukturkomponenten, die Unternehmen und Cloud-Anbieter täglich einsetzen.

Die Initiative wurde von Wiz Research organisiert und von mehreren großen Cloud-Anbietern unterstützt. Das Ziel ist klar: Forscher sollen dazu motiviert werden, Schwachstellen mit hoher Auswirkung verantwortungsvoll offenzulegen, bevor Angreifer sie entdecken.

Während des Events demonstrierte Zero-Day-Schwachstellen

Über zwei Tage hinweg nutzten die Teilnehmer erfolgreich 11 kritische Schwachstellen aus. Die meisten ermöglichten Remote-Code-Ausführung oder sogenannte Container-Escapes. Die Lücken betrafen Technologien, die das Rückgrat vieler Cloud-Umgebungen bilden.

Zu den Zielen gehörten:

• Beliebte Datenbanksysteme wie Redis, PostgreSQL und MariaDB
• Die Observability-Plattform Grafana
• Der Linux-Kernel, bei dem ein Container-Escape einen Bruch der Mandantenisolierung aufzeigte

Der erste Veranstaltungstag machte den Großteil der Auszahlungen aus. An diesem Tag erhielten Forscher 200.000 US-Dollar. Die verbleibenden Exploits wurden am zweiten Tag demonstriert, womit sich die gesamte Prämienhöhe auf 320.000 US-Dollar erhöhte.

Warum diese Erkenntnisse relevant sind

Cloud-Plattformen stützen sich stark auf gemeinsam genutzte Infrastruktur und Open-Source-Software. Eine einzelne kritische Schwachstelle in diesen Schichten kann Tausende von Organisationen gleichzeitig betreffen.

Der während des Events demonstrierte Exploit im Linux-Kernel ist ein anschauliches Beispiel. Die Isolation zwischen Containern gilt als zentrales Sicherheitsversprechen von Cloud-Umgebungen. Versagt diese Grenze, können sich Angreifer lateral zwischen Systemen bewegen, die als sicher voneinander getrennt galten.

Diese Risiken sind nicht theoretischer Natur. Werden solche Schwachstellen außerhalb kontrollierter Umgebungen ausgenutzt, können sie Datendiebstahl, Dienstunterbrechungen oder großflächige Kompromittierungen ermöglichen.

Höhepunkte des Wettbewerbs

Ein Forschungsteam stach besonders hervor, indem es mehrere erfolgreiche Exploits über verschiedene Datenbankplattformen hinweg miteinander verknüpfte. Andere Teams konzentrierten sich auf Low-Level-Komponenten, darunter das Verhalten des Kernels in containerisierten Umgebungen.

Das Event umfasste zudem Ziele im Bereich der KI-Infrastruktur. Auch wenn dort keine bestätigten Zero-Day-Schwachstellen demonstriert wurden, deutet die Einbeziehung auf wachsende Sicherheitsbedenken rund um KI-Workloads hin, die in gemeinsam genutzten Cloud-Umgebungen betrieben werden.

Fazit

Das Zeroday-Cloud-Hacking-Event machte eines deutlich: Cloud-Sicherheit erfordert eine kontinuierliche Überprüfung von Technologien, die viele als selbstverständlich ansehen. Durch die Auszahlung von 320.000 US-Dollar für 11 Zero-Day-Schwachstellen verdeutlichte das Event sowohl das Ausmaß verborgener Risiken als auch den hohen Wert proaktiver Sicherheitsforschung, bevor Angreifer dieselben Schwächen entdecken.