Pwn2Ownはハッキングコンテストです 2007年から、CanSecWestセキュリティ会議で毎年開催されます。 参加者は、ソフトウェアとモバイルデバイスを悪用するという課題に直面しています これまで知られていなかった脆弱性で広く使用されています。
コンテストの勝者は、利用したデバイス、賞金、および「マスター」を受け取ります彼の勝利の年を祝う。 「Pwn2Own」という名前は、参加者がデバイスを「所有」または獲得するために、デバイスを「pwn」またはハッキングする必要があるという事実に由来しています。
コンテスト Pwn2Ownは、広く使用されているデバイスとソフトウェアの脆弱性を実証するのに役立ちます また、前年度以降のセキュリティの進捗状況に関するチェックポイントも提供します。
Pwn2Own2020について
Pwn2Own 2020のこの新版では、今年 大会は事実上開催され、攻撃はオンラインで示されました、コルノナウイルス（Covid-19）の蔓延によって発生した問題のため、 主催者はこれが初めてです ゼロデイイニシアチブ（ZDI）、 イベントを開催することを決定しました 参加者がデモンストレーションできるようにする リモートから 彼のエクスプロイト。
競技中 脆弱性を悪用するためにさまざまな作業手法が提示されました 以前は不明 Ubuntuデスクトップで （Linuxカーネル）、 Windows、macOS、Safari、VirtualBox、AdobeReader。
支払い総額は270万ドルでした （賞金総額は4万米ドルを超えました）。
要約すると、XNUMX日間の大会の結果 CanSecWestカンファレンスで毎年開催されるPwn2Own2020は次のとおりです。
-
- Pwn2Own 2020の初日、Georgia Software and SecurityLabのチーム テックシステムズ （@SSLab_Gatech） macOSカーネルレベルの特権昇格によるSafariハック そして、root権限で計算機を起動します。 一連の攻撃には70,000つの脆弱性が含まれ、チームはXNUMXドルを稼ぐことができました。
- イベント中 「RedRocket」のManfredPaulは、Ubuntuデスクトップでのローカル権限のエスカレーションのデモンストレーションを担当しました。 入力値の誤った検証に関連するLinuxカーネルの脆弱性の悪用による。 これにより、彼は$ 30の賞金を獲得しました。
- また デモは、VirtualBoxにゲスト環境を残し、ハイパーバイザーの権限でコードを実行することで行われました。割り当てられたバッファの外側の領域からデータを読み取る機能と、初期化されていない変数を操作する際のエラーという40つの脆弱性を悪用することにより、この欠陥を証明するための賞金はXNUMXドルでした。 競争以外では、Zero Day Initiativeの代表者は、ゲスト環境での操作を通じてホストシステムへのアクセスを可能にする別のVirtualBoxトリックも示しました。
- のXNUMXつのデモンストレーション 脆弱性を悪用することによるWindowsでのローカル権限昇格 これにより、すでに解放されたメモリ領域にアクセスできるようになり、それぞれ40万ドルのこのXNUMXつの賞が授与されました。
- PDFドキュメントを開くときにWindowsで管理者アクセスを取得する AdobeReaderで特別に設計されています。 この攻撃には、すでに解放されているメモリ領域へのアクセスに関連するAcrobatおよびWindowsカーネルの脆弱性が含まれます（賞金$ 50）。
残りの未請求の推薦は、Chrome、Firefox、Edge、Microsoft Hyper-Vクライアント、Microsoft Office、およびMicrosoft WindowsRDPをハッキングするために参照されました。
VMware Workstationをハッキングする試みもありましたが、失敗しました。 昨年と同様に、ほとんどのオープンプロジェクト（nginx、OpenSSL、Apache httpd）のハッキングは賞のカテゴリーに入りませんでした。
これとは別に、テスラの自動車情報システムのハッキングの問題を見ることができます。
競争でテスラをハッキングする試みはありませんでした。a、最大保険料は700万ドルですが、 DoS脆弱性検出に関する個別の情報がありました （CVE-2020-10558）Tesla Model 3では、組み込みのブラウザー自動操縦通知で特別に設計されたページを無効にし、スピードメーター、ナビゲーター、エアコン、ナビゲーションシステムなどのコンポーネントの操作を中断できます。