În prima zi a competiției Pwn2Own Vancouver 2024, concurenții au demonstrat vulnerabilități zero-day și lanțuri de exploatare pentru Windows 11, Tesla și Ubuntu Linux pentru a câștiga 732.500 de dolari și un automobil Tesla Model 3.
Competiția a început cu Abdul Aziz Hariri de la Haboob SA folosind o exploatare Adobe Reader care a combinat o bypassare a restricțiilor API și o eroare de injecție de comenzi pentru a obține execuție de cod pe macOS și a câștigat 50.000 de dolari.
Synacktiv a câștigat un automobil Tesla Model 3 și 200.000 de dolari după ce a spart ECU-ul Tesla cu Controlul CAN BUS al Vehiculului (VEH) în mai puțin de 30 de secunde folosind un overflow al unui număr întreg.
Cercetătorii de securitate de la Theori, Gwangun Jung și Junoh Lee, au câștigat 130.000 de dolari după ce au scăpat dintr-o mașină virtuală VMware Workstation pentru a obține execuție de cod ca SYSTEM pe gazda Windows OS folosind un lanț care viza o eroare de variabilă neinițializată, o slăbiciune UAF și un overflow al buffer-ului bazat pe stivă.
Echipa Reverse Tactics, Bruno PUJOS și Corentin BAYET, au colectat 90.000 de dolari exploataând două bug-uri Oracle VirtualBox și un UAF Windows pentru a scăpa din mașina virtuală și a-și crește privilegiile la nivel de SYSTEM.
Ziua de concurs s-a încheiat cu Manfred Paul spărgând browserele web Apple Safari, Google Chrome și Microsoft Edge, exploatând trei vulnerabilități zero-day și câștigând 102.500 de dolari.
Alte încercări din prima zi a Pwn2Own includ:
După ce zero-day-urile sunt demonstrate la Pwn2Own, vendorii au 90 de zile pentru a crea și a lansa patch-uri de securitate pentru toate vulnerabilitățile raportate înainte ca Zero Day Initiative a Trend Micro să le dezvăluie public.
Pe parcursul Pwn2Own Vancouver 2024, cercetătorii de securitate vor viza produse complet patch-ate din categoriile browser web, cloud-native/container, virtualizare, aplicații enterprise, server, escaladare locală a privilegiilor (EoP), comunicații enterprise și automotive.
În a doua zi, concurenții Pwn2Own vor încerca să exploateze bug-uri zero-day în Windows 11, VMware Workstation, Oracle VirtualBox, Mozilla Firefox, Ubuntu Desktop, Google Chrome, Docker Desktop și Microsoft Edge.
După cele două zile de competiție de hacking, hackerii pot câștiga peste 1.300.000 de dolari, inclusiv un automobil Tesla Model 3. Premiul maxim pentru spargerea unui Tesla este acum de 150.000 de dolari, plus automobilul în sine.
Concurenții pot câștiga un premiu maxim de 500.000 de dolari și un automobil Tesla Model 3 pentru o exploatare care oferă control complet de la distanță cu rădăcină neîngrădită atunci când vizează Tesla Autopilot.
Folosind o vulnerabilitate a nucleului Windows, ei pot primi și un premiu de 300.000 de dolari pentru o scăpare Hyper-V Client guest-to-host reușită și o escaladare a privilegiilor pe gazda OS.
În timpul Pwn2Own Vancouver din anul trecut, câștigat de echipa Synacktiv, hackerii au câștigat 1.035.000 de dolari și un automobil Tesla pentru 27 de zero-day-uri (și mai multe coliziuni de bug-uri) în Windows 11, Microsoft Teams, Microsoft SharePoint, macOS, Ubuntu Desktop, VMware Workstation, Oracle VirtualBox și Tesla Model 3.
Synacktiv a spart de asemenea Modemul și Sistemul de Infotainment Tesla în cadrul primei ediții a Pwn2Own Automotive din ianuarie, obținând permisiuni de root pe un Modem Tesla prin înlănțuirea a trei zero-day-uri și demonstrând o evadare din sandbox-ul Sistemului de Infotainment prin intermediul unei lanțuri de exploatare cu două zero-day-uri.
Tesla spart, 24 de zero-day-uri demonstrate la Pwn2Own Automotive 2024
Pwn2Own Automotive: 1,3 milioane de dolari pentru 49 zero-day-uri, Tesla spart de două ori
Tesla spart din nou, alte 24 de zero-day-uri exploatate la Pwn2Own Tokyo
O nouă defecțiune zero-day a Jurnalului de Evenimente Windows primește patch-uri neoficiale
Windows 11 primește o singură aplicație Teams pentru conturile de lucru și personale
Leave a Reply