Pwn2Own 2033 fand in Vancouver statt
Vor kurzem Die ergebnisse von die drei Tage des Wettbewerbs Pwn2Own 2023, die jährlich im Rahmen der CanSecWest-Konferenz in Vancouver stattfindet.
In dieser neuen Ausgabe Es wurde nachgewiesen, dass Techniken zum Ausnutzen von Schwachstellen funktionieren bisher unbekannt für Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint und für Tesla-Fahrzeuge.
Insgesamt wurden 27 erfolgreiche Angriffe nachgewiesen die zuvor unbekannte Sicherheitslücken ausgenutzt haben.
Für diejenigen, die mit Pwn2Own nicht vertraut sind, sollten Sie wissen, dass dies ein globales Hacking-Event ist, das von der Trend Micro Zero-Day Initiative (ZDI) organisiert wird und seit 2005 stattfindet. Darin treten einige der besten Hacking-Teams gegen technologische Ziele an .-Standardwerte und untereinander, wobei „Zero-Day“-Exploits verwendet werden.
Diese Elite-Hacker-Kopfgeldjäger und Sicherheitsforscher haben ein strenges Zeitlimit, um die fraglichen Ziele erfolgreich zu „pwnen“. Der Erfolg wird sowohl mit Punkten belohnt, die zu einer Masters of Pwn-Rangliste hinzugefügt werden, und Lob an Pwn2Own sollte nicht unterschätzt werden, da der Wettbewerbscharakter hier stark ist, als auch mit beeindruckenden Auszahlungen. Insgesamt hat Pwn2Own Vancouver 2023 ein Preisgeld von über 1 Million US-Dollar.
Als erstes fiel Adobe Reader in der Kategorie Geschäftsanwendungen nach Abdul Aziz Hariri (@abdhariri) von Haboob SA verwendet eine Kette von Abenteuer Ziel war eine 6-Bug-Logikkette, die mehrere fehlgeschlagene Patches missbrauchte, die der Sandbox entkamen, und eine Liste gesperrter APIs in macOS umging, um 50.000 US-Dollar zu gewinnen.
Im Wettbewerb zeigte fünf erfolgreiche Versuche zu explodieren bisher unbekannte Sicherheitslücken in Ubuntu-Desktop, von verschiedenen Teams von Teilnehmern erstellt.
Die Probleme wurden durch die doppelte Freigabe des Speichers verursacht (ein Bonus von 30 $), die Speicherzugriff nach frei (ein Bonus von 30 $), falsche Zeigerbehandlung (ein Bonus von 30 $). In zwei Demos wurden bereits bekannte, aber nicht behobene Schwachstellen ausgenutzt (zwei Prämien von 15 Dollar). Außerdem wurde ein sechster Versuch unternommen, Ubuntu anzugreifen, aber der Exploit funktionierte nicht.
Über die Komponenten des Problems wird noch nicht berichtet, laut Wettbewerbsbedingungen werden detaillierte Informationen zu allen nachgewiesenen Zero-Day-Schwachstellen erst nach 90 Tagen veröffentlicht, die für die Vorbereitung von Updates durch Hersteller zur Beseitigung von Schwachstellen gegeben sind.
Über die anderen Demos von erfolgreichen Angriffen wird folgendes genannt:
- Drei Oracle VirtualBox-Hacks, die Schwachstellen ausnutzen, die durch Memory Access After Free Vulnerabilities, Buffer Overflow und Read Out of Buffer verursacht wurden (zwei Boni in Höhe von 40 $ und ein Bonus in Höhe von 80 $ für die Ausnutzung von 3 Schwachstellen, die die Ausführung von Code auf der Hostseite ermöglichten).
- Apples macOS Elevation ($40 Prämie).
- Zwei Angriffe auf Microsoft Windows 11, die es ihnen ermöglichten, ihre Privilegien zu erhöhen (30.000-Dollar-Boni).
- Die Schwachstellen wurden durch postfreien Speicherzugriff und fehlerhafte Eingabevalidierung verursacht.
- Angriff auf Microsoft Teams mit einer Kette von zwei Fehlern im Exploit (75,000 $ Prämie).
- Angriff auf Microsoft SharePoint (100,000 $ Bonus).
- Angriff auf eine VMWare-Workstation durch Zugriff auf freien Speicher und eine nicht initialisierte Variable (80 $ Prämie).
- Codeausführung beim Rendern von Inhalten in Adobe Reader. Eine komplexe Kette von 6 Fehlern wurde verwendet, um anzugreifen, die Sandbox zu umgehen und auf die gesperrte API zuzugreifen (50,000 US-Dollar Preisgeld).
Zwei Angriffe auf das Tesla Car Infotainment System und das Tesla Gateway, die es ermöglichen, Root-Zugriff zu erlangen. Der erste Preis betrug 100,000 US-Dollar und ein Tesla Model 3, der zweite Preis 250,000 US-Dollar.
Die Angriffe verwendeten die neuesten stabilen Versionen von Anwendungen, Browsern und Betriebssystemen mit allen verfügbaren Updates und Standardeinstellungen. Der Gesamtbetrag der gezahlten Entschädigung betrug 1,035,000 USD und ein Auto. Das Team mit den meisten Punkten erhielt 530,000 US-Dollar und ein Tesla Model 3.
Wenn Sie mehr darüber erfahren möchten, können Sie die Details einsehen im folgenden Link.