최근에 결과 대회 XNUMX 일 폰투오운 2, CanSecWest 컨퍼런스의 일환으로 매년 개최됩니다.
전년도와 마찬가지로 대회는 가상으로 개최되었습니다. 공격은 온라인에서 시연되었습니다. 23 개의 대상 중 이전에 알려지지 않은 취약점을 악용하는 운영 기술이 Ubuntu, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams 및 Zoom에 대해 입증되었습니다.
모든 경우에 사용 가능한 모든 업데이트를 포함하여 최신 소프트웨어 버전이 테스트되었습니다. 총 지불액은 미화 XNUMX 만 달러였습니다.
경쟁에서 우분투의 취약점을 악용하려는 세 번의 시도가있었습니다. 그중 첫 번째와 두 번째 시도가 계산되고 공격자는 로컬 권한 상승을 입증 할 수있었습니다. 버퍼 오버플로 및 이중 메모리 해제와 관련된 이전에 알려지지 않은 취약점을 악용하여 (문제 구성 요소가 아직보고되지 않았으며 개발자에게 데이터가 공개 될 때까지 90 일 동안 버그를 수정해야 함).
Ubuntu에 대해 입증 된 이러한 취약점 중 $ 30,000의 보너스가 지급되었습니다.
지역 특권 남용 범주의 다른 팀이 만든 세 번째 시도, 부분적으로 만 성공했습니다. 익스플로잇이 작동하여 루트 액세스 권한을 얻었습니다. 하지만 공격은 완전히 인정되지 않았습니다. 으로 취약점과 관련된 버그가 이미 분류되었습니다. 우분투 개발자들에게 알려졌고 수정 사항이 포함 된 업데이트가 준비 중이었습니다.
또한 Chromium 기술을 사용하는 브라우저에서 성공적인 공격이 입증되었습니다.: 구글 크롬과 마이크로 소프트 엣지, 크롬과 엣지에서 특별히 디자인 된 페이지를 열 때 코드가 실행될 수있는 익스플로잇을 만드는 데 100,000 달러의 보너스가 지급되었습니다 (두 브라우저 모두에서 보편적 인 익스플로잇이 생성되었습니다).
이 취약점의 경우 수정 사항이 향후 몇 시간 내에 게시 될 것으로 예상되는 반면 웹 콘텐츠 (렌더러) 처리를 담당하는 프로세스에 취약점이 존재하는 것으로 만 알려져 있습니다.
반면 Zoom에서 200 만 달러를 지불했고 일부 코드를 실행하여 Zoom 앱을 해킹 할 수있는 것으로 나타났습니다. 다른 사용자에게 메시지 보내기, 받는 사람의 조치가 필요하지 않습니다.. 이 공격은 Zoom의 세 가지 취약점과 Windows 운영 체제의 취약점을 사용했습니다.
정수 오버플로, 이미 해제 된 메모리 액세스 및 SYSTEM 권한 획득을 허용하는 경쟁 조건과 관련된 취약성이 입증 된 세 번의 성공적인 Windows 40,000 작업에 대해서도 $ 10의 보너스가 주어졌습니다.
또 다른 시도 표시되었지만이 경우에는 VirtualBox의 경우 실패했습니다., Firefox, VMware ESXi, Hyper-V 클라이언트, MS Office 365, MS SharePoint, MS RDP 및 Adobe Reader와 함께 보상 내에 남아 있으며 소유권이 주장되지 않았습니다.
또한 상금 600 달러와 Tesla Model 3 자동차에도 불구하고 Tesla 자동차 정보 시스템의 해킹을 보여줄 사람도 없었습니다.
다른 상 중 수상 :
- Microsoft Exchange 복호화 비용 200 달러 (관리자 권한을 얻기 위해 서버에서 인증 및 로컬 권한 에스컬레이션 우회). 다른 팀은 또 다른 성공적인 익스플로잇을 보였지만 첫 번째 팀이 이미 동일한 버그를 사용했기 때문에 두 번째 상금이 지급되지 않았습니다.
- 마이크로 소프트 장비 해킹 (서버에서 코드 실행)에 200 만 달러.
- Apple Safari 작업의 경우 100 달러 (Safari의 정수 오버 플로우 및 macOS 커널의 버퍼 오버 플로우를 통해 샌드 박싱을 방지하고 커널 수준에서 코드 실행).
- Parallels Desktop 해킹 (가상 머신에서 로그 아웃하고 메인 시스템에서 코드 실행)에 대해 140,000 건. 이 공격은 초기화되지 않은 메모리 누수, 스택 오버플로 및 정수 오버플로의 세 가지 취약점을 악용하여 수행되었습니다.
- Parallels Desktop 해킹에 대한 40 개의 $ XNUMX 상금 (가상 머신 내에서 작업을 통해 외부 운영 체제에서 코드를 실행할 수있는 논리 오류 및 버퍼 오버플로).