nyligen resultaten av de tre dagarna av tävlingen Pwn2Own 2021, hålls årligen som en del av CanSecWest-konferensen.
Liksom föregående år hölls tävlingarna praktiskt taget och attackerna demonstrerades online. Av de 23 målen har operationstekniker för att utnyttja tidigare okända sårbarheter demonstrerats för Ubuntu, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams och Zoom.
I alla fall testades de senaste programvaruversionerna, inklusive alla tillgängliga uppdateringar. Det totala beloppet för betalningarna var en miljon tvåhundra tusen dollar.
I tävlingen, tre försök gjordes för att utnyttja sårbarheter i Ubuntu varav det första och andra försöket räknades och angriparna kunde demonstrera eskaleringen av lokala privilegier genom att utnyttja tidigare okända sårbarheter relaterade till buffertöverflöden och dubbel minnesfrihet (där problemkomponenterna ännu inte har rapporterats och utvecklare får 90 dagar på sig att fixa buggar tills informationen avslöjas).
Av dessa sårbarheter som demonstrerades för Ubuntu, bonusar på $ 30,000 XNUMX betalades ut.
Det tredje försöket, gjort av ett annat lag i kategorin missbruk av lokala privilegier, det var bara delvis framgångsrikt: utnyttjandet fungerade och fick root-åtkomst, men attacken krediterades inte helt, som felet i samband med sårbarheten var redan katalogiserat och det var känt för Ubuntu-utvecklare och en uppdatering med en fix var under förberedelse.
också en framgångsrik attack har demonstrerats för webbläsare med Chromium-teknik: Google Chrome och Microsoft Edge, av dessa betalades en bonus på 100,000 XNUMX dollar för att skapa en exploatering som gör att koden kan köras när du öppnar en specialdesignad sida i Chrome och Edge (en universell exploatering skapades för båda webbläsarna).
I fallet med denna sårbarhet nämns att korrigeringen förväntas publiceras under de närmaste timmarna, medan det bara är känt att sårbarheten är närvarande i processen som ansvarar för att behandla webbinnehållet (renderaren).
Å andra sidan betalades 200 tusen dollar i Zoom och det visades att Zoom-appen kan hackas genom att köra någon kod skicka ett meddelande till en annan användare, inget behov av mottagarens åtgärder. Attacken använde tre sårbarheter i Zoom och en i Windows-operativsystemet.
En bonus på 40,000 10 $ gavs också för tre framgångsrika Windows XNUMX-operationer där sårbarheter relaterade till heltalsspill, åtkomst till redan frigjort minne och tävlingsförhållanden som gjorde det möjligt att få SYSTEM-privilegier visades).
Ett nytt försök det visades, men det i det här fallet det misslyckades med VirtualBox, som förblev inom belöningen tillsammans med Firefox, VMware ESXi, Hyper-V-klient, MS Office 365, MS SharePoint, MS RDP och Adobe Reader som förblev obefordrade.
Det fanns inga människor som var villiga att demonstrera hacket i Tesla-bilinformationssystemet, trots priset på 600 3 dollar plus Tesla Model XNUMX-bilen.
Av de andra utmärkelserna som tilldelades:
- 200 XNUMX dollar för dekryptering av Microsoft Exchange (kringgå autentisering och lokal upprätthållande av rättigheter på servern för att få administratörsrättigheter). Ett annat lag visades ytterligare ett framgångsrikt utnyttjande, men det andra priset betalades inte eftersom första laget redan använde samma fel.
- 200 tusen dollar i hacking av Microsoft-utrustning (kodkörning på servern).
- 100 XNUMX dollar för Apple Safari-drift (heltalsspill i Safari och buffertöverflöde i macOS-kärnan för att undvika sandlåda och köra kod på kärnnivå).
- 140,000 XNUMX för att hacka Parallels Desktop (logga ut från den virtuella maskinen och köra koden på huvudsystemet). Attacken genomfördes genom att utnyttja tre olika sårbarheter: oinitialiserat minnesläckage, stacköverflöde och heltalsöverflöde.
- Två $ 40 XNUMX priser för Parallels Desktop-hack (logikfel och buffertflöde som gjorde att koden kunde köras på ett externt operativsystem genom åtgärder i en virtuell maskin).