Pwn2Own 2033 u mbajt në Vankuver
kohët e fundit rezultatet e tre ditët e konkursit Pwn2Own 2023, e cila mbahet çdo vit si pjesë e konferencës CanSecWest në Vankuver.
Në këtë botim të ri teknikat janë demonstruar se punojnë për të shfrytëzuar dobësitë i panjohur më parë për Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint dhe për automjetet Tesla.
U demonstruan gjithsej 27 sulme të suksesshme që ka shfrytëzuar dobësitë e panjohura më parë.
Për ata që nuk janë të njohur me Pwn2Own, duhet të dini se kjo është një ngjarje globale hakerimi e organizuar nga Trend Micro Zero-Day Initiative (ZDI), e cila po zhvillohet që nga viti 2005. Në të, disa nga ekipet më të mira të hakerëve konkurrojnë kundër objektivave teknologjikë parazgjedhjet dhe njëri-tjetrin, duke përdorur shfrytëzime 'zero-day'.
Këta gjuetarë elitë të hakerëve dhe studiues të sigurisë kanë një afat kohor të rreptë për të 'punuar' me sukses objektivat në fjalë. Suksesi shpërblehet si me shtimin e pikëve në tabelën e drejtuesve të Masters of Pwn, ashtu edhe falënderimet për Pwn2Own nuk duhet të nënvlerësohen pasi natyra konkurruese është e fortë këtu, si dhe pagesa mbresëlënëse. Në total, Pwn2Own Vancouver 2023 ka një fond çmimesh mbi 1 milion dollarë.
I pari që ra ishte Adobe Reader në kategorinë e aplikacioneve për biznes pas Abdul Aziz Hariri (@abdhariri) nga Haboob SA përdori një zinxhir të shfrytëzon duke synuar një zinxhir logjik me 6 gabime që abuzoi me arna të shumta të dështuara që i shpëtuan Sandbox dhe anashkaluan një listë të API-ve të ndaluara në macOS për të fituar 50.000 dollarë.
Në konkurrencë demonstroi pesë përpjekje të suksesshme për të shpërthyer dobësi të panjohura më parë në Desktop Ubuntu, bërë nga ekipe të ndryshme pjesëmarrësish.
Problemet u shkaktuan nga lirimi i dyfishtë i kujtesës (një bonus prej 30 mijë dollarësh), aksesi i memories pasi është i lirë (një bonus 30 mijë dollarë), trajtim i gabuar i treguesit (një bonus 30 mijë dollarë). Në dy demonstrime, të njohura tashmë, por jo të fiksuara, janë përdorur dobësi (dy bonuse prej 15 mijë dollarë). Përveç kësaj, u bë një përpjekje e gjashtë për të sulmuar Ubuntu, por shfrytëzimi nuk funksionoi.
Për komponentët e problemit nuk raportohen ende, sipas kushteve të konkursit, informacioni i detajuar për të gjitha dobësitë e demonstruara të ditës zero do të publikohen vetëm pas 90 ditësh, të cilat janë dhënë për përgatitjen e përditësimeve nga prodhuesit për të eliminuar dobësitë.
Rreth demonstrimeve të tjera Nga sulmet e suksesshme përmenden si më poshtë:
- Tre hakime të Oracle VirtualBox duke shfrytëzuar dobësitë e shkaktuara nga qasja në memorie pas dobësive të lira, tejmbushja e bufferit dhe Read out of buffer (dy bonuse 40 mijë dollarë dhe bonus 80 mijë dollarë për shfrytëzimin e 3 dobësive që lejuan ekzekutimin e kodit në anën e hostit).
- MacOS Elevation i Apple (40 mijë dollarë Premium).
- Dy sulme në Microsoft Windows 11 që i lejuan ata të rrisin privilegjet e tyre (30.000 dollarë bonuse).
- Dobësitë u shkaktuan nga qasja pas memorjes pa pagesë dhe vlefshmëria e gabuar e hyrjes.
- Sulmoni Microsoft Teams duke përdorur një zinxhir prej dy gabimesh në shfrytëzim (premium 75,000 dollarë).
- Sulmi në Microsoft SharePoint (100,000 dollarë bonus).
- Sulmoni stacionin e punës VMWare duke hyrë në kujtesën e lirë dhe një variabël të pa inicializuar (premium 80 dollarë).
- Ekzekutimi i kodit gjatë paraqitjes së përmbajtjes në Adobe Reader. Një zinxhir kompleks prej 6 gabimesh u përdor për të sulmuar, për të anashkaluar sandbox dhe për të hyrë në API të ndaluar (çmimi 50,000 dollarë).
Dy sulme në sistemin e informacionit argëtues të makinës Tesla dhe Tesla Gateway, duke lejuar të fitoni akses rrënjësor. Çmimi i parë ishte 100,000 dollarë dhe një makinë Tesla Model 3, dhe çmimi i dytë ishte 250,000 dollarë.
Sulmet përdorën versionet më të fundit të qëndrueshme të aplikacioneve, shfletuesve dhe sistemeve operative me të gjitha përditësimet e disponueshme dhe cilësimet e paracaktuara. Shuma totale e kompensimit të paguar ishte 1,035,000 dollarë dhe një makinë. Ekipi me më shumë pikë mori 530,000 dollarë dhe një Tesla Model 3.
Së fundi, nëse jeni të interesuar të dini më shumë për të, mund të konsultoheni me detajet Në lidhjen vijuese.