nemrég az eredménye a verseny három napja 2 Pwn2021Own, évente megrendezésre kerül a CanSecWest konferencia részeként.
Az előző évhez hasonlóan a versenyeket is gyakorlatilag rendezték és a támadásokat online demonstrálták. A 23 célpont közül a korábban ismeretlen sebezhetőségek kiaknázására vonatkozó operatív technikákat mutattak be az Ubuntu, a Windows 10, a Chrome, a Safari, a Parallels Desktop, a Microsoft Exchange, a Microsoft Teams és a Zoom esetében.
Minden esetben a legújabb szoftververziókat tesztelték, beleértve az összes rendelkezésre álló frissítést. A kifizetések teljes összege egymillió kétszázezer dollár volt.
A versenyen három kísérletet tettek az Ubuntu biztonsági réseinek kihasználására amelyek közül az első és a második kísérletet megszámolták és a támadók be tudták mutatni a helyi privilégiumok eszkalálódását a puffertúlcsordulással és a kettős memória felszabadításával kapcsolatos, eddig ismeretlen sebezhetőségek kihasználásával (amelyekben a probléma összetevőiről még nem számoltak be, és a fejlesztőknek 90 nap áll rendelkezésére a hibák kijavítására az adatok nyilvánosságra hozataláig).
Az Ubuntu esetében bizonyított sérülékenységek közül 30,000 XNUMX dolláros bónuszokat fizettek.
A harmadik kísérlet, amelyet egy másik csapat tett a helyi kiváltságokkal való visszaélés kategóriájában, csak részben volt sikeres: a kihasználás működött és lehetővé tette a root hozzáférést, de a támadást nem írták jóvá teljes mértékben, óta a biztonsági réssel társított hiba már katalogizált volt és az Ubuntu fejlesztői ismerték, és javítással készült frissítés készül.
is sikeres támadást mutattak ki a Chromium technológiát használó böngészők számára: A Google Chrome és a Microsoft Edge, ezekből 100,000 XNUMX dolláros bónuszt fizettek egy olyan kihasználás létrehozásáért, amely lehetővé teszi a kód futtatását, amikor megnyit egy speciálisan tervezett oldalt a Chrome-ban és az Edge-ben (univerzális kihasználást hoztak létre mindkét böngészőhöz).
E biztonsági rés esetében megemlítik, hogy a korrekció várhatóan a következő néhány órában kerül közzétételre, miközben csak az ismert, hogy a biztonsági rés abban a folyamatban van, amely a webtartalom (renderelő) feldolgozásáért felelős.
Másrészt 200 ezer dollárt fizettek a Zoom és a megmutatták, hogy a Zoom alkalmazást valamilyen kód futtatásával lehet feltörni üzenet küldése egy másik felhasználónak, nincs szükség a befogadó semmilyen intézkedésére. A támadás három biztonsági rést használt fel a Zoomban, egyet pedig a Windows operációs rendszerben.
40,000 10 dolláros bónuszt kaptak három sikeres Windows XNUMX-műveletért is, amelyek során az egész számok túlcsordulásával, a már felszabadult memóriához való hozzáféréssel és a SYSTEM jogosultságok megszerzését lehetővé tevő versenyfeltételekkel kapcsolatos sebezhetőségeket mutatták be).
Újabb kísérlet amelyet mutattak, de ebben az esetben sikertelen volt a VirtualBox számára, amely a jutalmak között maradt a Firefox, a VMware ESXi, a Hyper-V kliens, az MS Office 365, az MS SharePoint, az MS RDP és az Adobe Reader mellett, amelyek nem igényeltek.
A 600 3 dolláros nyeremény és a Tesla Model XNUMX autó ellenére sem voltak olyan emberek, akik hajlandóak lennének demonstrálni a Tesla autóinformációs rendszer feltörését.
A többi díj közül elnyerték:
- 200 XNUMX dollár a Microsoft Exchange dekódolásáért (a hitelesítés és a helyi privilégiumok eszkalációjának megkerülése a szerveren rendszergazdai jogok megszerzése érdekében). Egy másik csapat újabb sikeres kihasználást mutatott be, de a második díjat nem fizették ki, mivel az első csapat már használta ugyanazokat a hibákat.
- 200 ezer dollár a Microsoft berendezés feltörése (kódfuttatás a szerveren).
- 100 XNUMX USD az Apple Safari működéséhez (egész szám túlcsordulás a Safariban és puffertúlcsordulás a macOS kernelben a homokozó elkerülése és a kernel szintű kód végrehajtása érdekében).
- 140,000 XNUMX a Parallels Desktop feltöréséért (kijelentkezés a virtuális gépből és a kód futtatása a fő rendszeren). A támadást három különböző biztonsági rés kihasználásával hajtották végre: inicializálatlan memóriaszivárgás, verem túlcsordulás és egész szám túlcsordulás.
- Két 40 XNUMX dolláros nyeremény a Parallels Desktop csapkodásokért (logikai hiba és puffertúlcsordulás, amely lehetővé tette a kód futtatását egy külső operációs rendszeren egy virtuális gépen belüli műveletek révén).