Pwn2Own on hakkerointikilpailu pidetään vuosittain CanSecWest-tietoturvakokouksessa, joka alkaa vuonna 2007. Osallistujat kohtaavat haasteen hyödyntää ohjelmistoja ja mobiililaitteita käytetään laajalti toistaiseksi tuntemattomien haavoittuvuuksien kanssa.
Kilpailun voittajat saavat käyttämänsä laitteen, rahapalkinnon ja “MastersJuhlimme voittovuottaan. Nimi "Pwn2Own" on johdettu siitä, että osallistujien on "omistettava" tai hakkeroitava laite "omistamaan" tai voittaakseen sen.
Kilpailu Pwn2Ownia käytetään osoittamaan laajasti käytettyjen laitteiden ja ohjelmistojen haavoittuvuus ja se tarjoaa myös tarkistuspisteen turvallisuuden edistymisestä edellisen vuoden jälkeen.
Tietoja Pwn2Own 2020: sta
Tässä uudessa Pwn2Own 2020 -versiossa tänä vuonna kilpailuja pidettiin virtuaalisesti ja hyökkäyksiä näytettiin verkossa, johtuen Cornonaviruksen (Covid-19) leviämisen aiheuttamista ongelmista, tämä on ensimmäinen kerta, kun järjestäjäsi Zero Day Initiative (ZDI), ovat päättäneet järjestää tapahtuman jolloin osallistujat voivat osoittaa kaukaista hänen hyväkseen.
Kilpailun aikana haavoittuvuuksien hyödyntämiseksi esiteltiin erilaisia työtekniikoita aiemmin tuntematon Ubuntu Desktopissa (Linux-ydin), Windows, macOS, Safari, VirtualBox ja Adobe Reader.
Maksujen kokonaismäärä oli 270 tuhatta dollaria (Kokonaispalkintopotti oli yli 4 miljoonaa dollaria).
Yhteenvetona kahden päivän kilpailun tulokset Vuosittain CanSecWest-konferenssissa järjestettävät Pwn2Own 2020 ovat seuraavat:
-
- Pwn2Own 2020: n ensimmäisen päivän aikana Georgia Software and Security Lab -tiimi Tekniset järjestelmät (@SSLab_Gatech) Safari-hakkerointi, jossa on MacOS-ytimen tason etuoikeus ja käynnistä laskin juurioikeuksilla. Hyökkäysketjuun liittyi kuusi haavoittuvuutta ja ansaitsi joukkueen ansaita 70,000 XNUMX dollaria.
- Tapahtuman aikana Manfred Paul RedRocketista vastasi paikallisten oikeuksien eskaloitumisesta Ubuntu Desktopissa hyödyntämällä Linux-ytimen haavoittuvuutta, joka liittyy syöttöarvojen virheelliseen tarkistamiseen. Tämä johti siihen, että hän voitti 30 XNUMX dollarin palkinnon.
- myös mielenosoitus tehtiin vierasympäristön jättämisestä VirtualBoxiin ja koodin suorittamisesta hypervisorin oikeuksillaHyödyntämällä kahta haavoittuvuutta: kykyä lukea tietoja varatun puskurin ulkopuolelta ja virhe työskentelemällä alustamattomien muuttujien kanssa, palkinto tämän virheen todistamisesta oli 40 XNUMX dollaria. Kilpailun ulkopuolella Zero Day Initiativen edustajat esittivät myös toisen VirtualBox-temppun, joka sallii pääsyn isäntäjärjestelmään manipuloimalla vierasympäristössä.
- Kaksi mielenosoitusta paikallisten käyttöoikeuksien eskalaatio Windowsissa hyödyntämällä haavoittuvuuksia jotka johtavat pääsyyn jo vapautuneeseen muistialueeseen, tällä jaettiin kaksi 40 tuhannen dollarin palkintoa.
- Hanki järjestelmänvalvojan käyttöoikeudet Windowsissa, kun avaat PDF-asiakirjan erityisesti Adobe Readerissa suunniteltu. Hyökkäys sisältää haavoittuvuuksia Acrobatissa ja Windows-ytimessä, joka liittyy jo vapautettujen muistialueiden käyttöön (50 dollarin palkinto).
Loput hakemattomat ehdokkaat viittaavat hakkerointiin Chrome, Firefox, Edge, Microsoft Hyper-V Client, Microsoft Office ja Microsoft Windows RDP.
VMware Workstationia yritettiin myös hakkeroida, mutta yritys epäonnistui. Kuten viime vuonna, useimpien avoimien projektien (nginx, OpenSSL, Apache httpd) hakkerointi ei päässyt palkintoluokkiin.
Erikseen voimme tarkastella Teslan autotietojärjestelmien hakkerointia.
Kilpailussa ei ollut yrityksiä hakkeroida Teslaa.a, huolimatta enimmäispalkkiosta 700 tuhatta dollaria, mutta DoS-haavoittuvuuden havaitsemisesta oli erillistä tietoa (CVE-2020-10558) Tesla-mallissa 3, jonka avulla voidaan poistaa käytöstä erityisesti suunniteltu sivu sisäänrakennetuissa selaimen autopilotti-ilmoituksissa ja keskeyttää komponenttien, kuten nopeusmittarin, navigaattorin, ilmastointilaitteen, navigointijärjestelmän jne.
lähde: https://www.thezdi.com/