مؤخرا نتائج الأيام الثلاثة للمسابقة Pwn2Own 2021 ، يعقد سنويًا كجزء من مؤتمر CanSecWest.
كما في العام السابق ، أقيمت المسابقات تقريبًا وتم عرض الهجمات على الإنترنت. من بين الأهداف الـ 23 ، تم عرض تقنيات تشغيلية لاستغلال الثغرات الأمنية غير المعروفة سابقًا في Ubuntu و Windows 10 و Chrome و Safari و Parallels Desktop و Microsoft Exchange و Microsoft Teams و Zoom.
في جميع الحالات ، تم اختبار أحدث إصدارات البرامج ، بما في ذلك جميع التحديثات المتاحة. وبلغ إجمالي المدفوعات مليون ومائتي ألف دولار أمريكي.
في المنافسة، جرت ثلاث محاولات لاستغلال الثغرات الأمنية في أوبونتو تم حساب المحاولات الأولى والثانية منها و تمكن المهاجمون من إظهار تصعيد الامتيازات المحلية من خلال استغلال الثغرات الأمنية غير المعروفة سابقًا والمتعلقة بتدفق المخزن المؤقت وتحرير الذاكرة المزدوجة (حيث لم يتم الإبلاغ عن مكونات المشكلة حتى الآن ويتم منح المطورين 90 يومًا لإصلاح الأخطاء حتى يتم الكشف عن البيانات).
من بين هذه الثغرات الأمنية التي تم عرضها في Ubuntu ، تم دفع مكافآت قدرها 30,000 ألف دولار.
المحاولة الثالثة قام بها فريق آخر في فئة إساءة استخدام الامتيازات المحلية، كان ناجحًا جزئيًا فقط: نجح الاستغلال وسُمح بالوصول إلى الجذر ، لكن الهجوم لم يُنسب بالكامل ، كما تم بالفعل فهرسة الخطأ المرتبط بالثغرة الأمنية وكان معروفًا لمطوري Ubuntu وكان يتم إعداد تحديث مع الإصلاح.
أيضا تم إثبات هجوم ناجح للمتصفحات المزودة بتقنية Chromium: Google Chrome و Microsoft Edge ، تم دفع مكافأة قدرها 100,000 دولار من هذه المكافآت لإنشاء استغلال يسمح بتشغيل التعليمات البرمجية عند فتح صفحة مصممة خصيصًا في Chrome و Edge (تم إنشاء استغلال عالمي لكلا المستعرضين).
في حالة هذه الثغرة الأمنية ، يُذكر أنه من المتوقع نشر التصحيح في الساعات القليلة القادمة ، بينما من المعروف فقط أن الثغرة الأمنية موجودة في العملية المسؤولة عن معالجة محتوى الويب (العارض).
من ناحية أخرى ، تم دفع 200 ألف دولار في Zoom و تبين أنه يمكن اختراق تطبيق Zoom عن طريق تنفيذ بعض التعليمات البرمجية إرسال رسالة إلى مستخدم آخر ، لا حاجة لاتخاذ أي إجراء من قبل المتلقي. استخدم الهجوم ثلاث نقاط ضعف في Zoom وواحدة في نظام التشغيل Windows.
كما تم منح مكافأة قدرها 40,000،10 دولار أمريكي لثلاث عمليات ناجحة لنظام التشغيل Windows XNUMX حيث تم إظهار نقاط الضعف المتعلقة بتجاوز عدد صحيح ، والوصول إلى الذاكرة التي تم تحريرها بالفعل ، وظروف السباق التي سمحت بالحصول على امتيازات النظام).
محاولة أخرى تم توضيح ذلك ، ولكن هذا في هذه الحالة لم ينجح الأمر مع VirtualBox، والتي ظلت ضمن المكافآت جنبًا إلى جنب مع Firefox و VMware ESXi و Hyper-V client و MS Office 365 و MS SharePoint و MS RDP و Adobe Reader التي لم تتم المطالبة بها.
لم يكن هناك أيضًا أشخاص على استعداد لإثبات اختراق نظام معلومات سيارة Tesla ، على الرغم من جائزة 600 دولار بالإضافة إلى سيارة Tesla Model 3.
من الجوائز الأخرى التي تم منحها:
- 200 دولار أمريكي لفك تشفير Microsoft Exchange (تجاوز المصادقة وتصعيد الامتياز المحلي على الخادم للحصول على حقوق المسؤول). عُرض على فريق آخر استغلال ناجح آخر ، لكن لم يتم دفع الجائزة الثانية لأن الفريق الأول استخدم بالفعل نفس الأخطاء.
- 200 الف دولار لاختراق اجهزة مايكروسوفت (تنفيذ كود على السيرفر).
- 100 دولار لعملية Apple Safari (تجاوز عدد صحيح في Safari وتجاوز المخزن المؤقت في macOS kernel لتجنب وضع الحماية وتشغيل التعليمات البرمجية على مستوى kernel).
- 140,000،XNUMX لاختراق Parallels Desktop (تسجيل الخروج من الجهاز الظاهري وتشغيل الكود على النظام الرئيسي). تم تنفيذ الهجوم من خلال استغلال ثلاث نقاط ضعف مختلفة: تسرب الذاكرة غير المهيأ ، تجاوز المكدس ، تجاوز عدد صحيح.
- جائزتان تبلغ قيمتهما 40 ألف دولار أمريكي لقرصنة Parallels Desktop (الخطأ المنطقي وتجاوز المخزن المؤقت الذي سمح بتشغيل الكود على نظام تشغيل خارجي من خلال إجراءات داخل جهاز افتراضي).