Baru-baru ini mereka menjadikan diri mereka dikenali melalui catatan blog keputusan tiga hari pertandingan Pwn2Own 2022, yang diadakan setiap tahun sebagai sebahagian daripada persidangan CanSecWest.
Dalam edisi tahun ini teknik telah ditunjukkan untuk mengeksploitasi kelemahan sebelum ini tidak diketahui untuk Desktop Ubuntu, Virtualbox, Safari, Windows 11, Microsoft Teams dan Firefox. Secara keseluruhan, 25 serangan berjaya ditunjukkan dan tiga percubaan berakhir dengan kegagalan. Serangan menggunakan versi stabil terkini aplikasi, penyemak imbas dan sistem pengendalian dengan semua kemas kini yang tersedia dan dalam tetapan lalai. Jumlah imbuhan yang dibayar ialah AS$1.155.000.
Pwn2Own Vancouver menjelang 2022 sedang dijalankan, dan ulang tahun ke-15 peraduan telah menyaksikan beberapa penyelidikan yang luar biasa dipamerkan. Nantikan blog ini untuk hasil terkini, imej dan video daripada acara tersebut. Kami akan menyiarkan semuanya di sini, termasuk papan pendahulu Sarjana Pwn yang terkini.
Pertandingan menunjukkan lima percubaan yang berjaya untuk mengeksploitasi kelemahan yang tidak diketahui sebelum ini dalam Desktop Ubuntu, dibuat oleh pasukan peserta yang berbeza.
telah dianugerahkan a Anugerah $40,000 untuk menunjukkan peningkatan keistimewaan tempatan dalam Desktop Ubuntu dengan mengeksploitasi dua limpahan penimbal dan isu keluaran berganda. Empat bonus, bernilai $40,000 setiap satu, telah dibayar kerana menunjukkan peningkatan keistimewaan dengan mengeksploitasi kelemahan yang berkaitan dengan akses memori selepas ia dikeluarkan (Gunakan-Selepas-Bebas).
KEJAYAAN – Keith Yeo (@kyeojy ) memenangi $40K dan 4 mata Sarjana Pwn untuk eksploitasi Percuma Selepas Penggunaan pada Desktop Ubuntu.
Komponen masalah mana yang belum dilaporkan, mengikut syarat pertandingan, maklumat terperinci tentang semua kelemahan 0 hari yang ditunjukkan akan diterbitkan hanya selepas 90 hari, yang diberikan untuk penyediaan kemas kini oleh pengeluar untuk menghapuskan kelemahan.
KEJAYAAN – Dalam percubaan terakhir pada Hari 2, Zhenpeng Lin (@Markak_), Yueqi Chen (@Lewis_Chen_), dan Xinyu Xing (@xingxinyu) daripada pasukan TUTELARY Northwestern University berjaya menunjukkan pepijat Use After Free yang membawa kepada peningkatan keistimewaan di Ubuntu Desktop. Ini memberi anda $40,000 dan 4 mata Master of Pwn.
Pasukan Orca dari Sea Security (security.sea.com) dapat menjalankan 2 pepijat pada Desktop Ubuntu: Penulisan Luar Sempadan (OOBW) dan Bebas Penggunaan Selepas (UAF), memperoleh $40,000 dan 4 Mata Induk Pwn .
KEJAYAAN: Pasukan Orca Sea Security (security.sea.com) dapat menjalankan 2 pepijat pada Desktop Ubuntu: Penulisan Luar Sempadan (OOBW) dan Bebas Penggunaan Selepas (UAF), memenangi $40,000 dan 4 Sarjana mata pwn.
Daripada serangan lain yang boleh dijalankan dengan jayanya, kami boleh menyebut perkara berikut:
- 100 ribu dolar untuk pembangunan eksploitasi untuk Firefox, yang membenarkan, dengan membuka halaman yang direka khas, untuk memintas pengasingan kotak pasir dan melaksanakan kod dalam sistem.
- $40,000 untuk menunjukkan eksploitasi yang mengambil kesempatan daripada limpahan penimbal dalam Oracle Virtualbox untuk log keluar tetamu.
- $50,000 untuk menjalankan Apple Safari (limpahan penimbal).
- $450,000 untuk Microsoft Teams hacks (pasukan berbeza menunjukkan tiga hacks dengan ganjaran
- $150,000 setiap satu).
- $80,000 (dua $40,000 bonus) untuk mengambil kesempatan daripada limpahan penimbal dan peningkatan keistimewaan dalam Microsoft Windows 11.
- $80,000 (dua $40,000 bonus) untuk mengeksploitasi pepijat dalam kod pengesahan akses untuk meningkatkan keistimewaan anda dalam Microsoft Windows 11.
- $40k untuk mengeksploitasi limpahan integer untuk meningkatkan keistimewaan anda dalam Microsoft Windows 11.
- $40,000 untuk mengeksploitasi kelemahan Penggunaan Selepas Bebas dalam Microsoft Windows 11.
- $75,000 untuk menunjukkan serangan ke atas sistem infotainmen kereta Tesla Model 3. Eksploit itu menggunakan limpahan penimbal dan pepijat berganda percuma, bersama-sama dengan teknik pintasan kotak pasir yang diketahui sebelum ini.
Akhir sekali, disebutkan bahawa dalam dua hari persaingan, kegagalan yang berlaku walaupun tiga percubaan penggodaman dibenarkan, adalah seperti berikut: Microsoft Windows 11 (6 hacks berjaya dan 1 gagal), Tesla (1 hack berjaya dan 1 gagal ) dan Microsoft Teams (3 penggodaman berjaya dan 1 gagal). Tiada permintaan untuk menunjukkan eksploitasi dalam Google Chrome tahun ini.
Akhirnya jika anda berminat untuk mengetahui lebih lanjut mengenainya, Anda boleh menyemak butiran dalam jawatan asal di pautan berikut.