Pwn2Own е хакерски конкурс провежда се ежегодно на конференцията за сигурност CanSecWest, започвайки през 2007 г. Участниците са изправени пред предизвикателството да използват софтуера и мобилните устройства широко използван с неизвестни досега уязвимости.
Победителите в конкурса получават устройството, което са използвали, парична награда и „МайсториПразнувайки годината на победата си. Името "Pwn2Own" произлиза от факта, че участниците трябва да "заложат" или да хакнат устройството, за да го "притежават" или спечелят.
Състезанието Pwn2Own се използва за демонстриране на уязвимостта на широко използваните устройства и софтуер и също така предоставя контролен пункт за напредъка, постигнат в сигурността от предходната година.
За Pwn2Own 2020
В това ново издание на Pwn2Own 2020, през тази година състезанията се провеждаха виртуално и атаките се показваха онлайн, поради проблемите, породени от разпространението на Cornonavirus (Covid-19), като за първи път вашият организатор Инициатива за нулев ден (ZDI), са решили да организират събитието позволявайки на участниците да демонстрират отдалечено неговите подвизи.
По време на състезанието бяха представени различни работни техники за използване на уязвимости по-рано неизвестен в Ubuntu Desktop (Linux ядро), Windows, macOS, Safari, VirtualBox и Adobe Reader.
Общата сума на плащанията възлиза на 270 хиляди долара (Общият награден фонд беше над 4 милиона щатски долара).
В обобщение, резултатите от двудневното състезание Pwn2Own 2020, провеждани ежегодно на конференцията CanSecWest, са както следва:
-
- През първия ден на Pwn2Own 2020, екип от лабораторията за софтуер и сигурност в Джорджия Технически системи (@SSLab_Gatech) Проникване в Safari с ескалация на привилегии на ниво ядро на macOS и стартирайте калкулатора с root права. Веригата за атака включва шест уязвимости и позволява на екипа да спечели 70,000 XNUMX долара.
- По време на събитието Манфред Пол от "RedRocket" беше натоварен да демонстрира ескалацията на местните привилегии в Ubuntu Desktop чрез експлоатация на уязвимост в ядрото на Linux, свързана с неправилна проверка на входните стойности. Това го накара да спечели награда от $ 30 XNUMX.
- Tambien демонстрацията беше направена от напускане на среда за гости във VirtualBox и изпълнение на код с правата на хипервизорЧрез експлоатация на две уязвимости: възможността за четене на данни от област извън разпределения буфер и грешка при работа с неинициализирани променливи, наградата за доказване на този недостатък беше $ 40 XNUMX. Извън състезанието представители на Zero Day Initiative демонстрираха и друг трик VirtualBox, който позволява достъп до хост системата чрез манипулации в средата за гости.
- Две демонстрации на локално повишаване на привилегиите в Windows чрез използване на уязвимости които водят до достъп до вече освободена памет, с това бяха присъдени две награди от по 40 хиляди долара.
- Получете администраторски достъп в Windows при отваряне на PDF документ специално проектиран в Adobe Reader. Атаката включва уязвимости в Acrobat и в ядрото на Windows, свързани с достъпа до вече освободени области на паметта (награда от $ 50 XNUMX).
Останалите непотърсени номинации бяха посочени за хакване на Chrome, Firefox, Edge, Microsoft Hyper-V Client, Microsoft Office и Microsoft Windows RDP.
Имаше и опит за хакване на VMware Workstation, но опитът беше неуспешен. Както и през миналата година, хакерството на повечето отворени проекти (nginx, OpenSSL, Apache httpd) не влезе в категориите за награждаване.
Отделно можем да разгледаме въпроса за хакерството на информационните системи за автомобили на Tesla.
Нямаше опити за хакване на Tesla в състезанието.а, въпреки максималната премия от $ 700 хиляди, но имаше отделна информация за DoS откриване на уязвимост (CVE-2020-10558) в Tesla Model 3, който позволява да се деактивира специално проектирана страница във вградените известия за автопилот в браузъра и да се прекъсне работата на компоненти като скоростомер, навигатор, климатик, навигационна система и др.
Fuente: https://www.thezdi.com/