Pwn2Own 2033 održan je u Vancouveru
nedavno rezultati tri dana natjecanja Pwn2Vlasnik 2023, koja se svake godine održava u sklopu konferencije CanSecWest u Vancouveru.
U ovom novom izdanju Pokazalo se da tehnike rade na iskorištavanju ranjivosti dosad nepoznat za Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint i za vozila Tesla.
Ukupno je prikazano 27 uspješnih napada koji je iskorištavao prethodno nepoznate ranjivosti.
Za one koji nisu upoznati s Pwn2Ownom, trebali biste znati da je ovo globalni hakerski događaj u organizaciji Trend Micro Zero-Day Initiative (ZDI), koji se održava od 2005. U njemu se neki od najboljih hakerskih timova natječu protiv tehnoloških meta .zadane i jedna drugu, koristeći 'zero-day' exploit.
Ovi elitni hakerski lovci na glave i sigurnosni istraživači imaju strogo vremensko ograničenje da uspješno 'olupe' predmetne mete. Uspjeh se nagrađuje s bodovima koji se dodaju na ljestvicu s rezultatima Masters of Pwn, a pohvale Pwn2Ownu ne treba podcijeniti jer je natjecateljska priroda ovdje jaka, kao i impresivne isplate. Ukupno, Pwn2Own Vancouver 2023. ima nagradni fond od preko milijun dolara.
Prvi je pao Adobe Reader u kategoriji poslovnih aplikacija nakon Abdul Aziza Haririja (@abdhariri) iz Haboob SA koristio je lanac od eksploatira ciljajući na logički lanac sa 6 grešaka koji je zlorabio više neuspjelih zakrpa koje su pobjegle iz Sandboxa i zaobišao popis zabranjenih API-ja u macOS-u kako bi osvojio 50.000 USD.
u konkurenciji pokazao je pet uspješnih pokušaja eksplozije prethodno nepoznate ranjivosti u Ubuntu Desktop, izradili različiti timovi sudionika.
Problemi su nastali zbog dvostrukog oslobađanja memorije (30 tisuća dolara bonusa), the pristup memoriji nakon slobodnog (bonus od 30 tisuća dolara), netočno rukovanje pokazivačem (bonus od 30 tisuća dolara). U dva demoa korištene su već poznate, ali neispravljene ranjivosti (dva bonusa od 15 tisuća dolara). Osim toga, napravljen je šesti pokušaj napada na Ubuntu, ali exploit nije uspio.
O komponentama problema još se ne izvješćuje, prema uvjetima natječaja, detaljne informacije o svim pokazanim zero day ranjivostima bit će objavljene tek nakon 90 dana, koji su proizvođači dani za pripremu ažuriranja za uklanjanje ranjivosti.
O ostalim demonstracijama od uspješnih napada spominje se sljedeće:
- Tri Oracle VirtualBox hakiranja iskorištavaju ranjivosti uzrokovane ranjivostima Memory Access After Free, Buffer Overflow i Read Out of Buffer (dva bonusa od 40 tisuća USD i bonus od 80 tisuća USD za iskorištavanje 3 ranjivosti koje su dopuštale izvršavanje koda na strani glavnog računala).
- Appleov macOS Elevation (40 tisuća USD Premium).
- Dva napada na Microsoft Windows 11 koji su im omogućili povećanje privilegija (30.000 $ bonusa).
- Ranjivosti su uzrokovane post-free pristupom memoriji i netočnom provjerom valjanosti unosa.
- Napad na Microsoft Teams koristeći lanac od dva buga u exploit-u (75,000 USD premije).
- Napad na Microsoft SharePoint (100,000 USD bonusa).
- Napad na radnu stanicu VMWare pristupom slobodnoj memoriji i neinicijaliziranoj varijabli (premija od 80 USD).
- Izvršenje koda tijekom renderiranja sadržaja u Adobe Readeru. Složeni lanac od 6 pogrešaka korišten je za napad, zaobilaženje sandboxa i pristup zabranjenom API-ju (nagrada od 50,000 dolara).
Dva napada na Tesla automobilski infotainment sustav i Tesla Gateway, koji omogućuju dobivanje root pristupa. Prva nagrada bila je 100,000 dolara i automobil Tesla Model 3, a druga nagrada 250,000 dolara.
Napadi su koristili najnovije stabilne verzije aplikacija, preglednika i operativnih sustava sa svim dostupnim ažuriranjima i zadanim postavkama. Ukupni iznos isplaćene odštete bio je 1,035,000 dolara i automobil. Tim s najviše bodova dobio je 530,000 dolara i Tesla Model 3.
Konačno, ako vas zanima više o tome, možete se posavjetovati s pojedinostima U sljedećem linku.