Pwn2Own 2033 がバンクーバーで開催されました
最近 の結果 大会のXNUMX日間 Pwn2Own 2023は、バンクーバーで開催される CanSecWest カンファレンスの一環として毎年開催されます。
この新版では 技術は脆弱性を悪用するために機能することが実証されています Ubuntu、Apple macOS、Oracle VirtualBox、VMWare Workstation、Microsoft Windows 11、Microsoft Teams、Microsoft SharePoint、および Tesla 車については、これまで不明でした。
合計 27 回の攻撃の成功が実証されました これまで知られていなかった脆弱性を悪用しました。
Pwn2Own に慣れていない方は、これが Trend Micro Zero-Day Initiative (ZDI) によって組織されたグローバルなハッキング イベントであることを知っておく必要があります。このイベントは 2005 年から開催されています。このイベントでは、最高のハッキング チームの一部が技術的な標的と競います。 「ゼロデイ」エクスプロイトを使用して、デフォルトと相互に。
これらのエリート ハッカーのバウンティ ハンターとセキュリティ研究者には、問題のターゲットの「pwn」に成功するための厳しい時間制限があります。 成功すると、Masters of Pwn リーダーボードにポイントが追加され、Pwn2Own への賞賛は過小評価されるべきではありません。 Pwn2Own Vancouver 2023 の賞金総額は 1 万ドルを超えます。
最初に落ちたのはAdobe Reader Abdul Aziz Hariri (@アブダリリ) のチェーンを使用した Haboob SA から エクスプロイト サンドボックスを逃れた複数の失敗したパッチを悪用し、macOS で禁止された API のリストをバイパスして 6 ドルを獲得した 50.000 つのバグ ロジック チェーンをターゲットにしました。
競争中 爆発の試みがXNUMX回成功したことを示した のこれまで知られていなかった脆弱性 Ubuntu デスクトップ、 参加者のさまざまなチームによって作られました。
問題は、メモリの二重解放によって引き起こされました (30 ドルのボーナス)、 フリー後のメモリアクセス ($30 のボーナス)、不適切なポインター処理 ($30 のボーナス)。 既知であるが修正されていない 15 つのデモでは、脆弱性が使用されました (XNUMX ドルの XNUMX つのボーナス)。 さらに、Ubuntu を攻撃する XNUMX 回目の試みが行われましたが、エクスプロイトは機能しませんでした。
問題の構成要素についてはまだ報告されていませんが、コンテストの条件によると、実証されたすべてのゼロデイ脆弱性に関する詳細情報は、脆弱性を排除するためのメーカーによる更新の準備のために提供される 90 日後にのみ公開されます。
その他のデモについて 成功した攻撃については、次のことが言及されています。
- 解放後のメモリ アクセス脆弱性、バッファ オーバーフロー、およびバッファの読み出しによる脆弱性を悪用する 40 つの Oracle VirtualBox ハッキング (ホスト側でコードの実行を可能にする 80 つの脆弱性を悪用するための 3 つの XNUMX 万ドルのボーナスと XNUMX 万ドルのボーナス)。
- Apple の macOS Elevation (40 万ドルのプレミアム)。
- Microsoft Windows 11 への 30.000 回の攻撃により、権限が増加しました (XNUMX ドルのボーナス)。
- これらの脆弱性は、解放後のメモリ アクセスと不適切な入力検証によって引き起こされました。
- エクスプロイトの 75,000 つのバグのチェーンを使用した Microsoft Teams への攻撃 (XNUMX ドルのプレミアム)。
- Microsoft SharePoint への攻撃 (100,000 ドルのボーナス)。
- 空きメモリと初期化されていない変数にアクセスすることによる VMWare ワークステーションへの攻撃 (80 ドルのプレミアム)。
- Adobe Reader でコンテンツをレンダリング中にコードが実行される。 攻撃、サンドボックスのバイパス、および禁止された API ($6 の賞金) へのアクセスには、50,000 つのエラーの複雑な連鎖が使用されました。
テスラの車載インフォテインメント システムとテスラ ゲートウェイに対する 100,000 回の攻撃で、ルート アクセスを取得できます。 一等賞は $3 とテスラ モデル 250,000 車で、二等賞は $XNUMX でした。
攻撃では、最新の安定したバージョンのアプリケーション、ブラウザー、およびオペレーティング システムが使用され、利用可能なすべての更新プログラムと既定の設定が使用されていました。 支払われた補償の総額は、1,035,000 ドルと車でした。 最も多くのポイントを獲得したチームには、530,000 ドルとテスラ モデル 3 が贈られました。
最後に、それについてもっと知りたい場合は、詳細を調べることができます 次のリンクで。