Pwn2Own - це конкурс злому щорічно проводиться на конференції безпеки CanSecWest, починаючи з 2007 року. Учасники стикаються з проблемою використання програмного забезпечення та мобільних пристроїв широко використовується з досі невідомими вразливими місцями.
Переможці конкурсу отримують пристрій, яким вони користувались, грошову премію та «МайстриСвяткуючи рік своєї перемоги. Назва "Pwn2Own" походить від того, що учасники повинні "розіграти" або зламати пристрій, щоб "володіти" або виграти його.
Конкурс Pwn2Own використовується для демонстрації вразливості широко використовуваних пристроїв та програмного забезпечення а також надає контрольний пункт про прогрес, досягнутий у галузі безпеки з попереднього року.
Про Pwn2Own 2020
У цьому новому виданні Pwn2Own 2020, цього року змагання проводились віртуально, а атаки демонструвались в Інтернеті, через проблеми, породжені розповсюдженням Корнонавірусу (Covid-19), це ваш перший організатор Ініціатива нульового дня (ZDI), вирішили організувати захід дозволяючи учасникам демонструвати віддалено його подвиги.
Під час змагань були представлені різні техніки роботи для використання вразливостей раніше невідомі в робочому столі Ubuntu (Ядро Linux), Windows, macOS, Safari, VirtualBox та Adobe Reader.
Загальна сума виплат склала 270 тисяч доларів (Загальний призовий фонд становив понад 4 мільйони доларів США).
Підсумовуючи результати двох днів змагань Pwn2Own 2020, які проводяться щорічно на конференції CanSecWest, є такими:
-
- Протягом першого дня Pwn2Own 2020 команда з лабораторії програмного забезпечення та безпеки штату Джорджія Технологічні системи (@SSLab_Gatech) Злом Safari з ескалацією привілеїв на рівні ядра macOS і запустіть калькулятор із правами root. Мережа атак включала шість вразливих місць і дозволила команді заробити 70,000 XNUMX доларів.
- Під час заходу Манфред Пол з "RedRocket" відповідав за демонстрацію ескалації місцевих привілеїв в Ubuntu Desktop через використання вразливості в ядрі Linux, пов’язаної з неправильною перевіркою вхідних значень. Це призвело до того, що він виграв приз у 30 XNUMX доларів.
- Тамбієн була проведена демонстрація виходу із гостьового середовища у VirtualBox та виконання коду з правами гіпервізораВикористовуючи дві вразливості: можливість зчитування даних з області за межами виділеного буфера та помилку при роботі з неініціалізованими змінними, приз за доведення цієї вади склав 40 XNUMX доларів. Поза змаганнями представники Zero Day Initiative також продемонстрували ще один трюк VirtualBox, який дозволяє отримати доступ до хост-системи за допомогою маніпуляцій у гостьовому середовищі.
- Дві демонстрації ескалація локальних привілеїв у Windows шляхом використання вразливостей які ведуть до доступу до вже звільненої області пам'яті, при цьому було присуджено дві премії по 40 тисяч доларів кожна.
- Отримайте доступ адміністратора в Windows під час відкриття документа PDF спеціально розроблений в Adobe Reader. Атака включає вразливості в Acrobat та в ядрі Windows, пов'язані з доступом до вже звільнених областей пам'яті (приз $ 50 XNUMX).
Решта незатребуваних номінацій були передані на злом Chrome, Firefox, Edge, Microsoft Hyper-V Client, Microsoft Office та Microsoft Windows RDP.
Також була зроблена спроба зламати робочу станцію VMware, але спроба була невдалою. Як і минулого року, злом більшості відкритих проектів (nginx, OpenSSL, Apache httpd) не увійшов до категорій нагород.
Окремо ми можемо розглянути проблему злому інформаційних систем автомобілів Tesla.
У змаганні не було спроб зламати Теслу.а, незважаючи на максимальну премію в 700 тисяч доларів, але була окрема інформація про виявлення вразливості DoS (CVE-2020-10558) у Tesla Model 3, що дозволяє відключити спеціально розроблену сторінку у вбудованих сповіщеннях автопілота браузера та перервати роботу таких компонентів, як спідометр, навігатор, кондиціонер, навігаційна система тощо
Фуенте: https://www.thezdi.com/