Pwn2Own 2033 održan je u Vancouveru
Nedavno rezultati tri dana takmičenja Pwn2Own 2023, koji se održava svake godine u sklopu konferencije CanSecWest u Vancouveru.
U ovom novom izdanju Pokazalo se da tehnike rade na iskorištavanju ranjivosti ranije nepoznat za Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint i za Tesla vozila.
Demonstrirano je ukupno 27 uspješnih napada koji je iskoristio ranije nepoznate ranjivosti.
Za one koji nisu upoznati s Pwn2Own, trebali biste znati da je ovo globalni hakerski događaj u organizaciji Trend Micro Zero-Day Initiative (ZDI), koji se održava od 2005. godine. U njemu se neki od najboljih hakerskih timova takmiče protiv tehnoloških ciljeva zadane vrijednosti i međusobno, koristeći eksploatacije 'nultog dana'.
Ovi elitni hakerski lovci na ucjene i istraživači sigurnosti imaju striktno vremensko ograničenje da uspješno 'probiju' dotične mete. Uspjeh se nagrađuje i dodavanjem bodova na Masters of Pwn ljestvicu, a pohvale za Pwn2Own ne treba potcijeniti jer je takmičarska priroda ovdje jaka, kao i impresivne isplate. Ukupno, Pwn2Own Vancouver 2023 ima nagradni fond od preko 1 milion dolara.
Prvi je pao Adobe Reader u kategoriji poslovnih aplikacija nakon Abdula Aziza Haririja (@abdhariri) iz Haboob SA koristio je lanac podvizima ciljajući logički lanac od 6 grešaka koji je zloupotrebio više neuspjelih zakrpa koje su pobjegle iz Sandbox-a i zaobišle listu zabranjenih API-ja u macOS-u kako bi osvojile 50.000 dolara.
U konkurenciji pokazao pet uspješnih pokušaja eksplozije ranije nepoznate ranjivosti u Ubuntu desktop, izradili su različiti timovi učesnika.
Problemi su nastali zbog dvostrukog oslobađanja memorije (bonus od 30 hiljada dolara), the pristup memoriji nakon oslobađanja (bonus od $30k), pogrešno rukovanje pokazivačem ($30k bonus). U dva demo-a korišćene su već poznate, ali ne i ispravljene ranjivosti (dva bonusa od 15 hiljada dolara). Osim toga, napravljen je i šesti pokušaj napada na Ubuntu, ali eksploatacija nije uspjela.
O komponentama problema još se ne izvještava, prema uslovima konkursa, detaljne informacije o svim pokazanim ranjivostima nultog dana biće objavljeni tek nakon 90 dana, koji se daju za pripremu ažuriranja od strane proizvođača za otklanjanje ranjivosti.
O ostalim demo snimcima od uspješnih napada spominje se sljedeće:
- Tri Oracle VirtualBox haka koja iskorištavaju ranjivosti uzrokovane pristupom memoriji nakon slobodnih ranjivosti, prelivom bafera i čitanjem bafera (dva bonusa od 40 dolara i bonusa od 80 dolara za iskorišćavanje 3 ranjivosti koje su omogućavale izvršavanje koda na strani domaćina).
- Appleov macOS Elevation (40 USD Premium).
- Dva napada na Microsoft Windows 11 koja su im omogućila da povećaju svoje privilegije (30.000 dolara bonusa).
- Ranjivosti su uzrokovane post-slobodnim pristupom memoriji i netačnom provjerom valjanosti unosa.
- Napad na Microsoft Teams koristeći lanac od dvije greške u eksploataciji (premium od 75,000 USD).
- Napad na Microsoft SharePoint (100,000 dolara bonusa).
- Napad na VMWare radnu stanicu pristupom slobodnoj memoriji i neinicijaliziranoj varijabli (premium od 80 USD).
- Izvršavanje koda prilikom prikazivanja sadržaja u Adobe Readeru. Složeni lanac od 6 grešaka korišten je za napad, zaobilaženje sandbox-a i pristup zabranjenom API-ju (nagrada od 50,000 dolara).
Dva napada na Tesla auto infotainment sistem i Tesla Gateway, omogućavajući pristup root-u. Prva nagrada iznosila je 100,000 dolara i automobil Tesla Model 3, a druga nagrada 250,000 dolara.
Napadi su koristili najnovije stabilne verzije aplikacija, pretraživača i operativnih sistema sa svim dostupnim ažuriranjima i zadanim postavkama. Ukupan iznos isplaćene kompenzacije bio je 1,035,000 dolara i automobil. Tim sa najviše bodova dobio je 530,000 dolara i Tesla Model 3.
Konačno, ako vas zanima više o tome, možete se obratiti detaljima Na sledećem linku.