Pwn2Own 2033 es va celebrar a Vancouver
fa poc es van donar a conèixer els resultats de els tres dies de la competició Pwn2Own 2023, que se celebra anualment en el marc de la conferència CanSecWest a Vancouver.
En aquesta nova edició s'han demostrat tècniques de treball per explotar vulnerabilitats prèviament desconegudes per a Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint i per als vehicles Tesla.
Es van demostrar un total de 27 atacs reeixits que van explotar vulnerabilitats prèviament desconegudes.
Per als que desconeixen del Pwn2Own, han de saber que aquest és un esdeveniment mundial de hacking organitzat per Trend Micro Zero-Day Initiative (ZDI), que es duu a terme des del 2005. Alguns dels millors equips de hacking competeixen contra objectius tecnològics predeterminats i entre si, utilitzant 'zero -day' gestes.
Aquests hackers cazarrecompenses i investigadors de seguretat d'elit tenen un límit de temps estricte per a 'pwn' amb èxit els objectius en qüestió. L'èxit es recompensa tant amb els punts que s'agreguen a una taula de classificació de Masters of Pwn, i les felicitacions de Pwn2Own no s'han de subestimar ja que la naturalesa competitiva és forta aquí, així com amb pagaments impressionants. En total, Pwn2Own Vancouver 2023 té un fons de premis de més de $1 milió.
El primer a caure va ser Adobe Reader en la categoria d'aplicacions empresarials després que Abdul Aziz Hariri (@abdhariri) de Haboob SA va utilitzar una cadena de exploits dirigida a una cadena lògica de 6 errors que abusava de múltiples pegats fallits que van escapar del Sandbox i van passar per alt una llista d'API prohibides a macOS per a gana U$S 50.000.
A la competència es va demostrar cinc intents exitosos d'explotar vulnerabilitats prèviament desconegudes a Ubuntu Desktop, realitzats per diferents equips de participants.
Els problemes van ser causats pel doble alliberament de memòria (una bonificació de $ 30k), el accés a la memòria després de l'alliberament (una bonificació de $ 30k), el maneig incorrecte del punter (una bonificació de $ 30k). En dues demostracions, ja conegudes, però no reparades, es van utilitzar vulnerabilitats (dos bons de 15 mil dòlars). A més, es va fer un sisè intent d'atacar Ubuntu, però l'exploit no va funcionar.
Sobre els components del problema encara no s'informen, segons els termes de la competència, la informació detallada sobre totes les vulnerabilitats zero day demostrades es publicarà només després de 90 dies, que es donen per a la preparació d'actualitzacions per part dels fabricants per eliminar vulnerabilitats.
Sobre les altres demostracions d'atacs reeixits s'esmenta el següent:
- Tres hacks d'Oracle VirtualBox que exploten les vulnerabilitats causades per l'accés a la memòria després de les vulnerabilitats lliures, desbordament del memòria intermèdia i lectura fora del memòria intermèdia (dos bons de $ 40k i un bo de $ 80k per explotar 3 vulnerabilitats que van permetre l'execució de codi al costat del host).
- Elevació de privilegis de macOS d'Apple ($40K Premium).
- Dos atacs a Microsoft Windows 11 que els van permetre augmentar els seus privilegis (primes de $30.000).
- Les vulnerabilitats van ser causades per l'accés a la memòria després de l'alliberament i la validació d'entrada incorrecta.
- Atac a Microsoft Teams usant una cadena de dos errors a l'exploit (prima de $75,000).
- Atac a Microsoft SharePoint (bo de $100,000).
- Atac a l'estació de treball VMWare mitjançant l'accés a la memòria lliure i una variable no inicialitzada (prima de $80 000).
- Execució de codi mentre es processa contingut a Adobe Reader. Es va fer servir una cadena complexa de 6 errors per atacar, eludir el sandbox i accedir a l'API prohibida (premi de $50,000).
Dos atacs al sistema d'informació i entreteniment de l'automòbil Tesla i Gateway Tesla, cosa que permet obtenir accés de root. El primer premi va ser de $100,000 i una interlocutòria Tesla Model 3, i el segon premi va ser de $250,000.
Els atacs van utilitzar les darreres versions estables d'aplicacions, navegadors i sistemes operatius amb totes les actualitzacions disponibles i en la configuració predeterminada. La suma total de la remuneració pagada va ascendir a$1,035,000 i un carro. L'equip amb més punts va rebre 530,000 dòlars i un Tesla Model 3.
Finalment si estàs interessat en poder conèixer més a l'respecte, pots consultar els detalls en el següent enllaç.