Pwn2Own 2033 จัดขึ้นที่เมืองแวนคูเวอร์
เมื่อเร็ว ๆ นี้ ผลลัพธ์ของ สามวันของการแข่งขัน Pwn2 ในปี 2023ซึ่งจัดขึ้นเป็นประจำทุกปีโดยเป็นส่วนหนึ่งของการประชุม CanSecWest ในแวนคูเวอร์
ในฉบับใหม่นี้ เทคนิคต่างๆ ได้รับการพิสูจน์แล้วว่าทำงานเพื่อใช้ประโยชน์จากช่องโหว่ต่างๆ ไม่รู้จักก่อนหน้านี้สำหรับ Ubuntu, Apple macOS, Oracle VirtualBox, VMWare Workstation, Microsoft Windows 11, Microsoft Teams, Microsoft SharePoint และสำหรับรถยนต์ Tesla
แสดงให้เห็นถึงการโจมตีที่ประสบความสำเร็จทั้งหมด 27 ครั้ง ที่ใช้ช่องโหว่ที่ไม่รู้จักก่อนหน้านี้
สำหรับผู้ที่ไม่คุ้นเคยกับ Pwn2Own คุณควรทราบว่านี่คืองานแฮ็กระดับโลกที่จัดโดย Trend Micro Zero-Day Initiative (ZDI) ซึ่งจัดขึ้นตั้งแต่ปี 2005 ในงานนี้ ทีมแฮ็กที่ดีที่สุดบางทีมจะแข่งขันกับเป้าหมายทางเทคโนโลยี . เริ่มต้นและแต่ละอื่น ๆ โดยใช้การหาประโยชน์จาก 'zero-day'
นักล่าค่าหัวแฮ็กเกอร์ชั้นยอดและนักวิจัยด้านความปลอดภัยเหล่านี้มีกำหนดเวลาที่เข้มงวดในการ 'pwn' เป้าหมายที่เป็นปัญหาให้สำเร็จ ความสำเร็จจะได้รับรางวัลทั้งคะแนนที่เพิ่มในกระดานผู้นำของ Masters of Pwn และไม่ควรประเมินความชื่นชมของ Pwn2Own ต่ำเกินไปเนื่องจากธรรมชาติของการแข่งขันนั้นแข็งแกร่งที่นี่ เช่นเดียวกับการจ่ายเงินที่น่าประทับใจ โดยรวมแล้ว Pwn2Own Vancouver 2023 มีเงินรางวัลมากกว่า 1 ล้านเหรียญสหรัฐ
อันดับแรกคือ Adobe Reader ในหมวดแอปพลิเคชั่นทางธุรกิจ หลังจาก Abdul Aziz Hariri (@อับดารี) จาก Haboob SA ใช้ห่วงโซ่ของ การหาประโยชน์ กำหนดเป้าหมายไปที่ลอจิกเชน 6 จุดที่ใช้แพตช์ที่ล้มเหลวหลายตัวในทางที่ผิดซึ่งหลบหนีจาก Sandbox และข้ามรายการ API ที่ถูกแบนใน macOS เพื่อชิงรางวัล $50.000
ในการแข่งขัน แสดงให้เห็นถึงความพยายามห้าครั้งที่ประสบความสำเร็จในการระเบิด ช่องโหว่ที่ไม่รู้จักมาก่อนใน เดสก์ท็อปอูบุนตู, สร้างโดยทีมผู้เข้าร่วมที่แตกต่างกัน
ปัญหาเกิดจากการเพิ่มหน่วยความจำสองครั้ง (โบนัส $30k), the การเข้าถึงหน่วยความจำหลังจากว่าง (โบนัส 30 ดอลลาร์) การจัดการตัวชี้ไม่ถูกต้อง (โบนัส 30 ดอลลาร์) ในการสาธิตสองครั้งซึ่งทราบอยู่แล้ว แต่ไม่ได้รับการแก้ไข มีการใช้ช่องโหว่ (โบนัสสองครั้ง 15 ดอลลาร์) นอกจากนี้ยังมีความพยายามโจมตีอูบุนตูเป็นครั้งที่หก แต่การใช้ประโยชน์ไม่ได้ผล
ยังไม่มีการรายงานเกี่ยวกับส่วนประกอบของปัญหาตามเงื่อนไขของการแข่งขัน ข้อมูลโดยละเอียดเกี่ยวกับช่องโหว่ Zero Day ที่แสดงให้เห็นทั้งหมดจะถูกเผยแพร่หลังจาก 90 วันเท่านั้น ซึ่งจัดทำขึ้นเพื่อเตรียมการอัปเดตโดยผู้ผลิตเพื่อกำจัดช่องโหว่
เกี่ยวกับการสาธิตอื่นๆ ของการโจมตีที่ประสบความสำเร็จมีการกล่าวถึงดังต่อไปนี้:
- การแฮ็ก Oracle VirtualBox สามครั้งใช้ประโยชน์จากช่องโหว่ที่เกิดจาก Memory Access After Free Vulnerabilities, Buffer Overflow และ Read Out of Buffer (โบนัส 40 ดอลลาร์สองครั้งและโบนัส 80 ดอลลาร์สำหรับการเจาะช่องโหว่ 3 แห่งที่อนุญาตให้เรียกใช้โค้ดในฝั่งโฮสต์)
- การยกระดับ macOS ของ Apple ($ 40K Premium)
- การโจมตี 11 ครั้งบน Microsoft Windows 30.000 ที่อนุญาตให้พวกเขาเพิ่มสิทธิพิเศษ (โบนัส XNUMX ดอลลาร์)
- ช่องโหว่ดังกล่าวเกิดจากการเข้าถึงหน่วยความจำภายหลังและการตรวจสอบอินพุตที่ไม่ถูกต้อง
- โจมตี Microsoft Teams โดยใช้จุดบกพร่องสองจุดในการหาประโยชน์ (ค่าพรีเมียม $75,000)
- โจมตี Microsoft SharePoint (โบนัส $100,000)
- โจมตีเวิร์กสเตชัน VMWare โดยการเข้าถึงหน่วยความจำว่างและตัวแปรที่ไม่ได้เตรียมใช้งาน (พรีเมี่ยม $80)
- การใช้โค้ดขณะเรนเดอร์เนื้อหาใน Adobe Reader ข้อผิดพลาดที่ซับซ้อน 6 รายการถูกใช้เพื่อโจมตี ข้ามแซนด์บ็อกซ์ และเข้าถึง API ที่ถูกแบน (รางวัล $50,000)
การโจมตีสองครั้งบนระบบสาระบันเทิงของรถยนต์ Tesla และ Tesla Gateway ทำให้สามารถเข้าถึงรูทได้ รางวัลที่หนึ่งคือ $100,000 และรถยนต์ Tesla Model 3 และรางวัลที่สองคือ $250,000
การโจมตีใช้แอปพลิเคชัน เบราว์เซอร์ และระบบปฏิบัติการเวอร์ชันล่าสุดที่เสถียร พร้อมด้วยการอัปเดตที่มีอยู่ทั้งหมดและการตั้งค่าเริ่มต้น จำนวนเงินชดเชยที่จ่ายไปทั้งหมดคือ 1,035,000 เหรียญและรถยนต์ ทีมที่มีคะแนนมากที่สุดจะได้รับ $530,000 และ Tesla Model 3
สุดท้ายนี้ หากคุณสนใจที่จะทราบข้อมูลเพิ่มเติม สามารถปรึกษารายละเอียดได้ ในลิงค์ต่อไปนี้.