Pwn2Own 2033 在溫哥華舉行
最近 結果 比賽的三天 Pwn2Own 2023，這是每年在溫哥華舉行的 CanSecWest 會議的一部分。
在這個新版本中 技術已被證明可以利用漏洞 以前未知的 Ubuntu、Apple macOS、Oracle VirtualBox、VMWare Workstation、Microsoft Windows 11、Microsoft Teams、Microsoft SharePoint 和 Tesla 車輛。
總共展示了 27 次成功的攻擊 利用了以前未知的漏洞。
對於不熟悉 Pwn2Own 的人，你應該知道這是由趨勢科技零日攻擊計劃 (ZDI) 組織的全球黑客活動，該活動從 2005 年開始舉辦。在其中，一些最優秀的黑客團隊與技術目標展開競爭. defaults 和彼此，使用“零日”漏洞利用。
這些精英黑客賞金獵人和安全研究人員有嚴格的時間限制才能成功“擊敗”相關目標。 成功的獎勵是在 Masters of Pwn 排行榜上增加積分，並且不應低估 Pwn2Own 的榮譽，因為這裡競爭激烈，獎金豐厚。 Pwn2Own Vancouver 2023 總獎金超過 1 萬美元。
第一個倒下的是 Adobe Reader 在 Abdul Aziz Hariri 之後的商業應用程序類別中（@阿布達里裡) 來自 Haboob SA 功勳 針對一個 6-bug 邏輯鏈，該鏈濫用了多個失敗的補丁，這些補丁逃過了沙箱並繞過了 macOS 中被禁止的 API 列表，贏得了 50.000 美元。
在比賽中 展示了五次成功的爆炸嘗試 以前未知的漏洞 Ubuntu桌面， 由不同的參與者團隊製作。
問題是由內存的雙重釋放引起的 （30 萬美元的獎金）， 釋放後的內存訪問 （30 萬美元的獎金），不正確的指針處理（30 萬美元的獎金）。 在兩個已知但未修復的演示中，使用了漏洞（兩次獎金為 15 美元）。 此外，還進行了第六次攻擊 Ubuntu 的嘗試，但漏洞利用沒有奏效。
關於問題的組件尚未報告，根據競賽條款，所有已證明的零日漏洞的詳細信息將在 90 天后發布，以供製造商準備更新以消除漏洞。
關於其他演示 在成功的攻擊中，提到了以下內容：
- 三個 Oracle VirtualBox 黑客利用由釋放後內存訪問漏洞、緩衝區溢出和讀出緩衝區引起的漏洞（兩次 40 萬美元獎金和 80 萬美元獎金用於利用 3 個允許在主機端執行代碼的漏洞）。
- Apple 的 macOS Elevation（40 萬美元高級版）。
- 對 Microsoft Windows 11 的兩次攻擊使他們能夠增加特權（30.000 美元獎金）。
- 這些漏洞是由 post-free 內存訪問和不正確的輸入驗證引起的。
- 使用漏洞中的兩個漏洞鏈攻擊 Microsoft Teams（75,000 美元溢價）。
- 對 Microsoft SharePoint 的攻擊（100,000 美元獎金）。
- 通過訪問空閒內存和未初始化的變量來攻擊 VMWare 工作站（80 美元的溢價）。
- 在 Adobe Reader 中呈現內容時執行代碼。 一個由 6 個錯誤組成的複雜鏈用於攻擊、繞過沙箱並訪問被禁止的 API（獎金 50,000 美元）。
兩次攻擊特斯拉汽車信息娛樂系統和特斯拉網關，獲得 root 訪問權限。 一等獎是 100,000 萬美元和一輛特斯拉 Model 3 汽車，二等獎是 250,000 萬美元。
這些攻擊使用了最新的穩定版本的應用程序、瀏覽器和操作系統，以及所有可用的更新和默認設置。 支付的賠償總額為 1,035,000 美元和一輛汽車。 得分最高的團隊獲得了 530,000 美元和一輛特斯拉 Model 3。
最後，如果你有興趣了解更多，可以諮詢詳情 在下面的鏈接中。