Kamakailan lamang ang bunga ng ang tatlong araw ng kompetisyon Pwn2Own 2021, gaganapin taun-taon bilang bahagi ng kumperensya sa CanSecWest.
Tulad ng sa nakaraang taon, ang mga paligsahan ay ginanap nang halos at ang mga pag-atake ay ipinakita sa online. Sa 23 mga target, ang mga diskarte sa pagpapatakbo upang pagsamantalahan ang dating hindi kilalang mga kahinaan ay ipinakita para sa Ubuntu, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams, at Zoom.
Sa lahat ng mga kaso, ang mga pinakabagong bersyon ng software ay nasubukan, kasama ang lahat ng mga magagamit na pag-update. Ang kabuuang halaga ng mga pagbabayad ay isang milyong dalawang daang libong US dolyar.
Sa kumpetisyon, tatlong pagtatangka ang ginawa upang pagsamantalahan ang mga kahinaan sa Ubuntu na kung saan ang una at pangalawang pagtatangka ay binibilang at naipakita ng mga umaatake ang pagdami ng mga lokal na pribilehiyo sa pamamagitan ng pagsasamantala sa dating hindi kilalang mga kahinaan na nauugnay sa pag-apaw ng buffer at pagpapalaya ng doble na memorya (kung saan ang mga bahagi ng problema ay hindi pa naiulat at bibigyan ang mga developer ng 90 araw upang iwasto ang mga bug hanggang sa isiwalat ang data).
Sa mga kahinaan na ito na ipinakita para sa Ubuntu, mga bonus na $ 30,000 ang nabayaran.
Ang pangatlong pagtatangka, na ginawa ng isa pang koponan sa kategorya ng pang-aabuso ng mga lokal na pribilehiyo, ito ay bahagyang matagumpay lamang: ang pagsasamantala ay nagtrabaho at pinapayagan na makakuha ng root access, ngunit ang pag-atake ay hindi buong kredito, mula noon ang bug na nauugnay sa kahinaan ay naka-catalog na at ito ay kilala sa mga developer ng Ubuntu at ang isang pag-update na may pag-aayos ay inihahanda.
Rin isang matagumpay na pag-atake ang ipinakita para sa mga browser na may teknolohiya ng Chromium: Ang Google Chrome at Microsoft Edge, sa mga ito ng bonus na $ 100,000 ay binayaran para sa paglikha ng isang pagsasamantala na nagpapahintulot sa code na maipatupad kapag binuksan mo ang isang espesyal na idinisenyong pahina sa Chrome at Edge (isang pangkalahatang pagsasamantala ay nilikha para sa parehong mga browser).
Sa kaso ng kahinaan na ito, nabanggit na ang pagwawasto ay inaasahang mai-publish sa susunod na ilang oras, habang nalalaman lamang na ang kahinaan ay nasa proseso na responsable para sa pagproseso ng nilalaman ng web (renderer).
Sa kabilang banda, 200 libong dolyar ang binayaran sa Zoom at ipinakita na ang Zoom app ay maaaring ma-hack sa pamamagitan ng pagpapatupad ng ilang code nagpapadala ng mensahe sa ibang gumagamit, hindi na kailangan para sa anumang aksyon ng tatanggap. Gumamit ang pag-atake ng tatlong mga kahinaan sa Zoom at isa sa operating system ng Windows.
Ang isang bonus na $ 40,000 ay ibinigay din para sa tatlong matagumpay na pagpapatakbo ng Windows 10 kung saan ang mga kahinaan na nauugnay sa overeger ng integer, pag-access sa memorya na napalaya, at ang mga kundisyon ng lahi na pinapayagan ang pagkuha ng mga pribilehiyo ng SYSTEM ay ipinakita).
Isa pang pagtatangka na ipinakita, ngunit sa kasong ito ay hindi matagumpay ay para sa VirtualBox, na nanatili sa loob ng mga gantimpala kasama ang Firefox, VMware ESXi, Hyper-V client, MS Office 365, MS SharePoint, MS RDP at Adobe Reader na nanatiling hindi na-claim.
Wala ring mga taong handang ipakita ang pag-hack ng sistema ng impormasyon ng kotse sa Tesla, sa kabila ng gantimpala na $ 600 kasama ang Tesla Model 3 na kotse.
Sa iba pang mga parangal na iginawad:
- $ 200 para sa pag-decrypt ng Microsoft Exchange (bypassing authentication at local privilege escalation sa server upang makakuha ng mga karapatan ng administrator). Ang isa pang koponan ay ipinakita sa isa pang matagumpay na pagsasamantala, ngunit ang pangalawang premyo ay hindi nabayaran dahil ang unang koponan ay ginamit na ang parehong mga bug.
- 200 libong dolyar sa pag-hack ng kagamitan ng Microsoft (pagpapatupad ng code sa server).
- $ 100 para sa operasyon ng Apple Safari (overeg ng integer sa Safari at buffer overflow sa macOS kernel upang maiwasan ang sandboxing at magpatupad ng code na antas ng kernel).
- 140,000 para sa pag-hack ng Parallels Desktop (pag-log out sa virtual machine at pagpapatakbo ng code sa pangunahing system). Ang pag-atake ay isinasagawa sa pamamagitan ng pagsasamantala sa tatlong magkakaibang mga kahinaan: hindi na-unialize na butas ng memorya, stack overflow, at integer overflow.
- Dalawang $ 40 na premyo para sa mga pag-hack ng Parallels Desktop (error sa lohika at overflow ng buffer na pinapayagan ang code na tumakbo sa isang panlabas na operating system sa pamamagitan ng mga aksyon sa loob ng isang virtual machine).