Πρόσφατα τα αποτελέσματα από τις τρεις ημέρες του διαγωνισμού Pwn2Own 2021, πραγματοποιείται κάθε χρόνο στο πλαίσιο του συνεδρίου CanSecWest.
Όπως και το προηγούμενο έτος, οι διαγωνισμοί πραγματοποιήθηκαν ουσιαστικά και οι επιθέσεις επιδείχθηκαν στο Διαδίκτυο. Από τους 23 στόχους, έχουν αποδειχθεί λειτουργικές τεχνικές για την εκμετάλλευση προηγουμένως άγνωστων τρωτών σημείων για Ubuntu, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams και Zoom.
Σε όλες τις περιπτώσεις, δοκιμάστηκαν οι πιο πρόσφατες εκδόσεις λογισμικού, συμπεριλαμβανομένων όλων των διαθέσιμων ενημερώσεων. Το συνολικό ποσό των πληρωμών ήταν ένα εκατομμύριο διακόσιες χιλιάδες δολάρια ΗΠΑ.
Στον διαγωνισμό, έγιναν τρεις προσπάθειες για την εκμετάλλευση ευπαθειών στο Ubuntu εκ των οποίων μετρήθηκαν η πρώτη και η δεύτερη προσπάθεια οι επιτιθέμενοι μπόρεσαν να αποδείξουν την κλιμάκωση των τοπικών προνομίων μέσω της εκμετάλλευσης προηγουμένως άγνωστων ευπαθειών που σχετίζονται με υπερχείλιση buffer και απελευθέρωση διπλής μνήμης (στις οποίες τα προβληματικά στοιχεία δεν έχουν ακόμη αναφερθεί και στους προγραμματιστές έχουν δοθεί 90 ημέρες για να διορθώσουν σφάλματα μέχρι να αποκαλυφθούν τα δεδομένα).
Από αυτές τις ευπάθειες που αποδείχθηκαν για το Ubuntu, Καταβλήθηκαν μπόνους 30,000 $.
Η τρίτη προσπάθεια, που έγινε από άλλη ομάδα στην κατηγορία κατάχρησης τοπικών προνομίων, ήταν μόνο εν μέρει επιτυχές: το exploit λειτούργησε και επέτρεψε να αποκτήσει πρόσβαση root αλλά η επίθεση δεν πιστώθηκε πλήρως, από το σφάλμα που σχετίζεται με την ευπάθεια είχε ήδη καταχωριστεί και ήταν γνωστό στους προγραμματιστές του Ubuntu και ετοιμάζεται μια ενημέρωση με επιδιόρθωση.
επίσης μια επιτυχημένη επίθεση έχει αποδειχθεί για προγράμματα περιήγησης με τεχνολογία Chromium: Google Chrome και Microsoft Edge, από αυτά καταβλήθηκε ένα μπόνους 100,000 $ για τη δημιουργία ενός exploit που επιτρέπει την εκτέλεση κώδικα όταν ανοίγετε μια ειδικά σχεδιασμένη σελίδα στο Chrome και το Edge (δημιουργήθηκε ένα καθολικό exploit και για τα δύο προγράμματα περιήγησης).
Στην περίπτωση αυτής της ευπάθειας, αναφέρεται ότι η διόρθωση αναμένεται να δημοσιευτεί τις επόμενες ώρες, ενώ είναι μόνο γνωστό ότι η ευπάθεια υπάρχει στη διαδικασία που είναι υπεύθυνη για την επεξεργασία του περιεχομένου ιστού (renderer).
Από την άλλη πλευρά, 200 χιλιάδες δολάρια πληρώθηκαν στο Zoom και αποδείχθηκε ότι η εφαρμογή Zoom μπορεί να παραβιαστεί εκτελώντας κάποιο κώδικα στέλνοντας ένα μήνυμα σε άλλο χρήστη, δεν χρειάζεται καμία ενέργεια από τον παραλήπτη. Η επίθεση χρησιμοποίησε τρεις ευπάθειες στο Zoom και μία στο λειτουργικό σύστημα των Windows.
Ένα μπόνους 40,000 $ δόθηκε επίσης για τρεις επιτυχημένες λειτουργίες των Windows 10 στις οποίες παρουσιάστηκαν ευπάθειες που σχετίζονται με ακέραια υπερχείλιση, πρόσβαση στη μνήμη που έχει ήδη ελευθερωθεί και συνθήκες αγώνα που επέτρεψαν τη λήψη προνομίων SYSTEM.
Μια άλλη προσπάθεια που παρουσιάστηκε, αλλά σε αυτήν την περίπτωση ήταν ανεπιτυχής ήταν για το VirtualBox, που παρέμεινε εντός των ανταμοιβών μαζί με τους Firefox, VMware ESXi, Hyper-V client, MS Office 365, MS SharePoint, MS RDP και Adobe Reader που παρέμειναν χωρίς αξίωση.
Δεν υπήρχαν επίσης άνθρωποι που ήταν πρόθυμοι να αποδείξουν την παραβίαση του συστήματος πληροφοριών αυτοκινήτου Tesla, παρά το έπαθλο 600 $ συν το αυτοκίνητο Tesla Model 3.
Από τα άλλα βραβεία που απονεμήθηκαν:
- 200 $ για την αποκρυπτογράφηση του Microsoft Exchange (παρακάμπτοντας τον έλεγχο ταυτότητας και την τοπική κλιμάκωση προνομίων στον διακομιστή για να αποκτήσετε δικαιώματα διαχειριστή). Σε μια άλλη ομάδα παρουσιάστηκε μια άλλη επιτυχημένη εκμετάλλευση, αλλά το δεύτερο έπαθλο δεν καταβλήθηκε καθώς η πρώτη ομάδα χρησιμοποίησε ήδη τα ίδια σφάλματα.
- 200 χιλιάδες δολάρια σε hacking εξοπλισμού της Microsoft (εκτέλεση κώδικα στον διακομιστή).
- 100 $ για τη λειτουργία Apple Safari (ακέραια υπερχείλιση στο Safari και υπερχείλιση buffer στον πυρήνα macOS για να αποφευχθεί το περιβάλλον δοκιμών και να εκτελεστεί κωδικός σε επίπεδο πυρήνα).
- 140,000 για hacking Parallels Desktop (αποσύνδεση από την εικονική μηχανή και εκτέλεση του κώδικα στο κύριο σύστημα). Η επίθεση πραγματοποιήθηκε εκμεταλλεύοντας τρεις διαφορετικές ευπάθειες: μη αρχικοποιημένη διαρροή μνήμης, υπερχείλιση στοίβας και ακέραια υπερχείλιση.
- Δύο έπαθλα 40 $ για παραβιάσεις Desktop Parallels (σφάλμα λογικής και υπερχείλιση buffer που επέτρεψε την εκτέλεση κώδικα σε εξωτερικό λειτουργικό σύστημα μέσω ενεργειών σε μια εικονική μηχανή).