לאחרונה התוצאות של שלושת ימי התחרות Pwn2Own 2021, נערך מדי שנה במסגרת ועידת CanSecWest.
כמו בשנה הקודמת, התחרויות נערכו באופן וירטואלי וההתקפות הודגמו באופן מקוון. מתוך 23 היעדים, הוכחו טכניקות תפעוליות לניצול פרצות שלא היו ידועות בעבר עבור אובונטו, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams ו- Zoom.
בכל המקרים נבדקו גרסאות התוכנה העדכניות ביותר, כולל כל העדכונים הזמינים. הסכום הכולל של התשלומים היה מיליון ומאתיים אלף דולר אמריקאי.
בתחרות, שלושה ניסיונות נעשו לנצל את הפגיעות באובונטו מתוכם נספרו הניסיונות הראשונים והשניים התוקפים הצליחו להפגין את הסלמתן של הרשאות מקומיות באמצעות ניצול של נקודות תורפה שלא היו ידועות בעבר הקשורות להצפת מאגר ושיחרור זיכרון כפול (בהן טרם דווח על מרכיבי הבעיה ולמפתחים ניתנים 90 יום לתקן באגים עד גילוי הנתונים).
מבין נקודות תורפה אלה שהוכחו עבור אובונטו, שולמו בונוסים של 30,000 $.
הניסיון השלישי, שנעשה על ידי צוות אחר בקטגוריית ניצול לרעה של הרשאות מקומיות, זה היה מוצלח רק חלקית: הניצול עבד ואפשר לקבל גישה לשורש, אבל התקיפה לא זכתה במלואה, מאז הבאג הקשור לפגיעות כבר היה מקוטלג וזה היה ידוע למפתחי אובונטו והכינו עדכון עם תיקון.
גם הוכחה התקפה מוצלחת עבור דפדפנים עם טכנולוגיית Chromium: Google Chrome ו- Microsoft Edge, מתוכם שולם בונוס של 100,000 $ עבור יצירת ניצול המאפשר ביצוע קוד כאשר אתה פותח דף שתוכנן במיוחד ב- Chrome וב- Edge (נוצר ניצול אוניברסלי לשני הדפדפנים).
במקרה של פגיעות זו מוזכר כי התיקון צפוי להתפרסם בשעות הקרובות, בעוד שידוע רק כי הפגיעות קיימת בתהליך האחראי על עיבוד תוכן האינטרנט (מעבד).
מצד שני, 200 אלף דולר שולמו ב- Zoom ו- הוצג כי ניתן לפרוץ את אפליקציית Zoom באמצעות ביצוע קוד כלשהו שליחת הודעה למשתמש אחר, אין צורך בשום פעולה מצד הנמען. בהתקפה נעשה שימוש בשלוש נקודות תורפה בזום ואחת במערכת ההפעלה Windows.
בונוס של 40,000 $ הוענק גם עבור שלוש פעולות מוצלחות של Windows 10 בהן הוכחו פגיעות הקשורות להצפת מספרים שלמים, גישה לזיכרון שכבר שוחרר ותנאי גזע שאפשרו קבלת הרשאות SYSTEM).
ניסיון נוסף שהוצג, אך במקרה זה לא הצליח עבור VirtualBox, שנותרו בתגמולים יחד עם Firefox, VMware ESXi, לקוח Hyper-V, MS Office 365, MS SharePoint, MS RDP ו- Adobe Reader שנותרו ללא דרישה.
לא היו אף אנשים שמוכנים להפגין את פריצת מערכת המידע של מכוניות טסלה, למרות הפרס של 600 דולר בתוספת מכונית דגם 3 של טסלה.
משאר הפרסים שהוענקו:
- 200 $ לפענוח Microsoft Exchange (עקיפת אימות והסלמת הרשאות מקומיות בשרת כדי להשיג זכויות מנהל). צוות אחר הוצג לנצל מוצלח נוסף, אך הפרס השני לא שולם מכיוון שהקבוצה הראשונה כבר השתמשה באותם באגים.
- 200 אלף דולר פריצה של ציוד מיקרוסופט (ביצוע קוד בשרת).
- 100 אלף דולר עבור פעולת Apple Safari (הצפה שלמה בספארי והצפת מאגר בקרנל macOS כדי להימנע מאגרוף חול ולהפעיל קוד ברמת הליבה).
- 140,000 עבור פריצה לשולחן העבודה Parallels (התנתקות מהמכונה הווירטואלית והפעלת הקוד במערכת הראשית). ההתקפה בוצעה על ידי ניצול של שלוש נקודות תורפה שונות: דליפת זיכרון לא מאוזנת, הצפת מחסנית והצפה שלמה.
- שני פרסים בסך 40 $ עבור פריצות לשולחן העבודה Parallels (שגיאת לוגיקה והצפת מאגר שאפשרו להפעיל קוד במערכת הפעלה חיצונית באמצעות פעולות בתוך מכונה וירטואלית).