Pwn2Own 2033 נערך בוונקובר
לאחרונה התוצאות של שלושת ימי התחרות Pwn2Own 2023, שמתקיים מדי שנה במסגרת כנס CanSecWest בוונקובר.
במהדורה החדשה הזו הוכח כי טכניקות פועלות לניצול פגיעויות לא ידוע בעבר עבור Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint ועבור רכבי Tesla.
בסך הכל הוצגו 27 התקפות מוצלחות שניצלו פגיעויות שלא היו ידועות בעבר.
למי שלא מכיר את Pwn2Own, כדאי לדעת שמדובר באירוע פריצה עולמי המאורגן על ידי Trend Micro Zero-Day Initiative (ZDI), שמתקיים מאז 2005. בו, כמה מצוותי הפריצה הטובים ביותר מתחרים מול יעדים טכנולוגיים ברירת המחדל וזו, תוך שימוש בניצול 'יום אפס'.
לציידי ראשים וחוקרי אבטחה מובחרים של האקרים מובחרים יש מגבלת זמן קפדנית להצליח "לפנות" את המטרות המדוברות. הצלחה מתוגמלת הן עם הוספת נקודות ל-Masters of Pwn leaderboard, ואין לזלזל בשבחים ל-Pwn2Own שכן האופי התחרותי חזק כאן, כמו גם תשלומים מרשימים. בסך הכל, ל-Pwn2Own Vancouver 2023 יש קרן פרסים של למעלה ממיליון דולר.
הראשון שנפל היה Adobe Reader בקטגוריית האפליקציות העסקיות אחרי עבדול עזיז חרירי (@אבדהירירי) מ Haboob SA השתמשו בשרשרת של מעללים מיקוד לשרשרת לוגיקה של 6 באגים שניצלה לרעה מספר תיקונים כושלים שנמלטו מארגז החול ועקפו רשימה של ממשקי API אסורים ב-macOS כדי לזכות ב-$50.000.
בתחרות הפגין חמישה ניסיונות מוצלחים להתפוצץ פגיעויות לא ידועות בעבר ב שולחן העבודה של אובונטו, שנעשו על ידי צוותים שונים של משתתפים.
הבעיות נגרמו כתוצאה משחרור כפול של זיכרון (בונוס של 30 אלף דולר), ה גישה לזיכרון לאחר חינם (בונוס של 30 אלף דולר), טיפול שגוי במצביע (בונוס של 30 אלף דולר). בשתי הדגמות, שכבר ידועות, אך לא תוקנו, נעשה שימוש בפרצות (שני בונוסים של 15 אלף דולר). בנוסף, נעשה ניסיון שישי לתקוף את אובונטו, אך הניצול לא עבד.
על מרכיבי הבעיה טרם מדווחים, על פי תנאי התחרות, מידע מפורט על כל פגיעות יום האפס שהוכחו יפורסם רק לאחר 90 יום, שניתנים לצורך הכנת עדכונים על ידי יצרנים לביטול פרצות.
לגבי ההדגמות האחרות מהתקפות מוצלחות מוזכרים הדברים הבאים:
- שלוש פריצות ל-Oracle VirtualBox המנצלות נקודות תורפה הנגרמות על ידי גישה לזיכרון לאחר פגיעויות חופשיות, הצפת מאגר וקריאה מחוץ למאגר (שני בונוסים של 40 אלף דולר ובונוס של 80 אלף דולר עבור ניצול 3 פגיעויות שאפשרו ביצוע של קוד בצד המארח).
- ה-macOS Elevation של אפל (40 אלף דולר פרימיום).
- שתי התקפות על Microsoft Windows 11 שאפשרו להם להגדיל את ההרשאות שלהם (30.000$ בונוסים).
- הפגיעויות נגרמו כתוצאה מגישה חופשית לזיכרון ואימות קלט שגוי.
- התקפה על Microsoft Teams באמצעות שרשרת של שני באגים בניצול (פרימיום של $75,000).
- התקפה על Microsoft SharePoint (בונוס של $100,000).
- התקפה על תחנת עבודה של VMWare על ידי גישה לזיכרון פנוי ומשתנה לא מאותחל (פרימיום של $80).
- ביצוע קוד בזמן רינדור תוכן ב-Adobe Reader. נעשה שימוש בשרשרת מורכבת של 6 שגיאות כדי לתקוף, לעקוף את ארגז החול ולגשת ל-API האסור (פרס של 50,000$).
שתי התקפות על מערכת המידע והבידור לרכב טסלה ו-Tesla Gateway, המאפשרות לקבל גישה לשורש. הפרס הראשון היה $100,000 ורכב טסלה דגם 3, והפרס השני היה $250,000.
ההתקפות השתמשו בגרסאות היציבות האחרונות של יישומים, דפדפנים ומערכות הפעלה עם כל העדכונים הזמינים והגדרות ברירת המחדל. סכום הפיצוי הכולל ששולם היה 1,035,000 דולר ורכב. הקבוצה עם הכי הרבה נקודות קיבלה 530,000 דולר וטסלה דגם 3.
לבסוף, אם אתה מעוניין לדעת יותר על כך, תוכל להתייעץ עם הפרטים בקישור הבא.