„Pwn2Own“ yra įsilaužimų varžybos kasmet rengiama „CanSecWest“ saugumo konferencijoje, prasidedančioje 2007 m. Dalyviai susiduria su iššūkiu naudoti programinę įrangą ir mobiliuosius įrenginius plačiai naudojamas su iki šiol nežinomais pažeidžiamumais.
Konkurso nugalėtojai gauna naudojamą įrenginį, piniginį prizą ir „MeistraiŠvenčia savo pergalės metus. Pavadinimas „Pwn2Own“ yra kilęs iš to, kad dalyviai turi „pagauti“ arba nulaužti įrenginį, norėdami jį „turėti“ ar laimėti.
Konkursas „Pwn2Own“ naudojamas plačiai naudojamų įrenginių ir programinės įrangos pažeidžiamumui parodyti jame taip pat pateikiama saugumo srityje nuo praėjusių metų padaryta pažanga.
Apie „Pwn2Own 2020“
Šiame naujame „Pwn2Own 2020“ leidime š varžybos vyko virtualiai, o atakos buvo rodomos internete, dėl problemų, kurios kilo dėl Cornonavirus (Covid-19) plitimo, tai pirmą kartą jūsų organizatorius „Nulinės dienos iniciatyva“ (ZDI), nusprendė organizuoti renginį leidžiant dalyviams pademonstruoti nuotoliniu būdu jo išnaudojimai.
Varžybų metu buvo pristatytos įvairios darbo technikos pažeidžiamumui išnaudoti anksčiau nežinoma „Ubuntu Desktop“ („Linux“ branduolys), „Windows“, „MacOS“, „Safari“, „VirtualBox“ ir „Adobe Reader“.
Bendra mokėjimų suma siekė 270 tūkstančių dolerių (Bendras prizinis fondas viršijo 4 mln. USD).
Apibendrinant, dviejų varžybų dienų rezultatai Kasmet „CanSecWest“ konferencijoje rengiamas „Pwn2Own 2020“ yra toks:
-
- Per pirmąją „Pwn2Own 2020“ dieną komanda iš Gruzijos programinės įrangos ir saugos laboratorijos „Tech Systems“ (@SSLab_Gatech) „Safari“ įsilaužimas su „MacOS“ branduolio lygio privilegijų eskalavimu ir paleiskite skaičiuoklę su root teisėmis. Atakos grandinė apėmė šešis pažeidžiamumus ir leido komandai uždirbti 70,000 XNUMX USD.
- Renginio metu Manfredas Paulas iš „RedRocket“ buvo atsakingas už vietinių privilegijų eskalavimo demonstravimą „Ubuntu Desktop“ išnaudojant „Linux“ branduolio pažeidžiamumą, susijusį su neteisingu įvesties verčių patikrinimu. Tai paskatino jį laimėti 30 XNUMX USD prizą.
- Tambienas buvo demonstruojama, kaip „VirtualBox“ išeina iš svečio aplinkos ir kaip vykdomas kodas hipervizoriaus teisėmis.Išnaudojant du pažeidžiamumus: galimybę skaityti duomenis iš zonos, esančios už paskirto buferio ribų, ir klaidą dirbant su neinicijuotais kintamaisiais, prizas už šio trūkumo įrodymą buvo 40 XNUMX USD. Už konkurso ribų „Zero Day Initiative“ atstovai taip pat pademonstravo dar vieną „VirtualBox“ triuką, kuris leidžia prieigą prie priimančiosios sistemos atliekant manipuliacijas svečių aplinkoje.
- Dvi demonstracijos vietinių privilegijų eskalavimas sistemoje „Windows“ išnaudojant pažeidžiamumus kurie atveda prie jau atlaisvintos atminties srities, buvo paskirti du 40 tūkstančių dolerių prizai.
- Gaukite atidarę PDF dokumentą administratoriaus prieigą sistemoje „Windows“ specialiai sukurta „Adobe Reader“. Ataka susijusi su „Acrobat“ ir „Windows“ branduolio pažeidžiamumais, susijusiais su prieiga prie jau atlaisvintų atminties sričių (50 XNUMX USD prizas).
Likusios nepateiktos nominacijos buvo nurodytos dėl „Chrome“, „Firefox“, „Edge“, „Microsoft Hyper-V Client“, „Microsoft Office“ ir „Microsoft Windows RDP“ įsilaužimo.
Taip pat buvo bandoma nulaužti „VMware Workstation“, tačiau bandymas buvo nesėkmingas. Kaip ir praėjusiais metais, įsilaužus į daugumą atvirų projektų („nginx“, „OpenSSL“, „Apache httpd“) nepateko į apdovanojimų kategorijas.
Atskirai galime nagrinėti „Tesla“ automobilių informacinių sistemų įsilaužimo klausimą.
Varžybose nebuvo bandoma nulaužti „Tesla“.a, nepaisant maksimalios 700 tūkstančių dolerių premijos, tačiau buvo atskira informacija apie DoS pažeidžiamumo aptikimą (CVE-2020-10558) „Tesla Model 3“, kuris leidžia išjungti specialiai sukurtą puslapį įtaisytuose naršyklės autopiloto pranešimuose ir nutraukti komponentų, tokių kaip spidometras, navigatorius, oro kondicionierius, navigacijos sistema ir kt., Veikimą.
Fuente: https://www.thezdi.com/