Το Pwn2Own 2033 πραγματοποιήθηκε στο Βανκούβερ
Πρόσφατα τα αποτελέσματα από τις τρεις ημέρες του διαγωνισμού Pwn2Own 2023, που πραγματοποιείται κάθε χρόνο στο πλαίσιο του συνεδρίου CanSecWest στο Βανκούβερ.
Σε αυτήν τη νέα έκδοση έχουν αποδειχθεί ότι λειτουργούν για την εκμετάλλευση των τρωτών σημείων προηγουμένως άγνωστο για Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint και για οχήματα Tesla.
Συνολικά επιδείχθηκαν 27 επιτυχημένες επιθέσεις που εκμεταλλευόταν προηγουμένως άγνωστα τρωτά σημεία.
Για όσους δεν είναι εξοικειωμένοι με το Pwn2Own, πρέπει να ξέρετε ότι πρόκειται για μια παγκόσμια εκδήλωση hacking που διοργανώνεται από την Trend Micro Zero-Day Initiative (ZDI), η οποία λαμβάνει χώρα από το 2005. Σε αυτήν, μερικές από τις καλύτερες ομάδες hacking ανταγωνίζονται τεχνολογικούς στόχους . προεπιλογές και μεταξύ τους, χρησιμοποιώντας εκμεταλλεύσεις «zero-day».
Αυτοί οι επίλεκτοι κυνηγοί επικηρυγμένων χάκερ και οι ερευνητές ασφαλείας έχουν ένα αυστηρό χρονικό όριο για να "pwn" επιτυχώς τους εν λόγω στόχους. Η επιτυχία ανταμείβεται τόσο με την προσθήκη πόντων σε έναν πίνακα κορυφαίων Masters of Pwn, όσο και τα συγχαρητήρια για το Pwn2Own δεν πρέπει να υποτιμηθούν, καθώς η ανταγωνιστική φύση είναι ισχυρή εδώ, καθώς και οι εντυπωσιακές πληρωμές. Συνολικά, το Pwn2Own Vancouver 2023 έχει χρηματικό έπαθλο άνω του 1 εκατομμυρίου $.
Το πρώτο που έπεσε ήταν το Adobe Reader στην κατηγορία επιχειρηματικών εφαρμογών μετά τον Abdul Aziz Hariri (@abdhariri) από τη Haboob SA χρησιμοποίησε μια αλυσίδα από εκμεταλλεύεται στοχεύοντας μια λογική αλυσίδα 6 σφαλμάτων που έκανε κατάχρηση πολλαπλών αποτυχημένων ενημερώσεων κώδικα που διέφυγαν από το Sandbox και παρέκαμψε μια λίστα απαγορευμένων API στο macOS για να κερδίσει 50.000 $.
στον ανταγωνισμό έδειξε πέντε επιτυχημένες προσπάθειες να εκραγεί προηγουμένως άγνωστα τρωτά σημεία σε Ubuntu Desktop, κατασκευασμένα από διαφορετικές ομάδες συμμετεχόντων.
Τα προβλήματα προκλήθηκαν από τη διπλή απελευθέρωση της μνήμης (ένα μπόνους 30 $), το πρόσβαση στη μνήμη μετά από δωρεάν (ένα μπόνους $30k), εσφαλμένος χειρισμός δείκτη (ένα μπόνους $30k). Σε δύο demo, ήδη γνωστά, αλλά όχι διορθωμένα, χρησιμοποιήθηκαν τρωτά σημεία (δύο μπόνους 15 χιλιάδων δολαρίων). Επιπλέον, έγινε μια έκτη προσπάθεια επίθεσης στο Ubuntu, αλλά το exploit δεν λειτούργησε.
Σχετικά με τα στοιχεία του προβλήματος δεν αναφέρονται ακόμη, σύμφωνα με τους όρους του διαγωνισμού, λεπτομερείς πληροφορίες για όλες τις αποδεδειγμένες ευπάθειες zero day θα δημοσιευτούν μόνο μετά από 90 ημέρες, οι οποίες δίνονται για την προετοιμασία ενημερώσεων από τους κατασκευαστές για την εξάλειψη των τρωτών σημείων.
Σχετικά με τα άλλα demos των επιτυχημένων επιθέσεων αναφέρονται τα εξής:
- Τρεις παραβιάσεις του Oracle VirtualBox που εκμεταλλεύονται ευπάθειες που προκαλούνται από την πρόσβαση στη μνήμη μετά από δωρεάν ευπάθειες, το buffer Overflow και το Read Out of Buffer (δύο μπόνους $40 και μπόνους $80 για την εκμετάλλευση 3 τρωτών σημείων που επέτρεψαν την εκτέλεση κώδικα από την πλευρά του κεντρικού υπολογιστή).
- Το macOS Elevation της Apple (40 $ Premium).
- Δύο επιθέσεις στα Microsoft Windows 11 που τους επέτρεψαν να αυξήσουν τα προνόμιά τους (30.000 $ μπόνους).
- Τα τρωτά σημεία προκλήθηκαν από πρόσβαση μετά την ελεύθερη μνήμη και λανθασμένη επικύρωση εισόδου.
- Επίθεση στο Microsoft Teams χρησιμοποιώντας μια αλυσίδα από δύο σφάλματα στο exploit (75,000 $ premium).
- Επίθεση στο Microsoft SharePoint (μπόνους 100,000$).
- Επίθεση στον σταθμό εργασίας VMWare αποκτώντας πρόσβαση στην ελεύθερη μνήμη και σε μια μη αρχικοποιημένη μεταβλητή (80$ premium).
- Εκτέλεση κώδικα κατά την απόδοση περιεχομένου στο Adobe Reader. Χρησιμοποιήθηκε μια σύνθετη αλυσίδα 6 σφαλμάτων για την επίθεση, την παράκαμψη του sandbox και την πρόσβαση στο απαγορευμένο API (βραβείο $50,000).
Δύο επιθέσεις στο σύστημα ενημέρωσης και ψυχαγωγίας αυτοκινήτου Tesla και στο Tesla Gateway, επιτρέποντας την απόκτηση πρόσβασης root. Το πρώτο βραβείο ήταν 100,000 δολάρια και ένα αυτοκίνητο Tesla Model 3 και το δεύτερο βραβείο ήταν 250,000 δολάρια.
Οι επιθέσεις χρησιμοποιούσαν τις πιο πρόσφατες σταθερές εκδόσεις εφαρμογών, προγραμμάτων περιήγησης και λειτουργικών συστημάτων με όλες τις διαθέσιμες ενημερώσεις και τις προεπιλεγμένες ρυθμίσεις. Το συνολικό ποσό της αποζημίωσης που καταβλήθηκε ήταν 1,035,000 $ και ένα αυτοκίνητο. Η ομάδα με τους περισσότερους πόντους έλαβε 530,000 δολάρια και ένα Tesla Model 3.
Τέλος, εάν ενδιαφέρεστε να μάθετε περισσότερα σχετικά, μπορείτε να συμβουλευτείτε τις λεπτομέρειες Στον ακόλουθο σύνδεσμο.