Die uitslae van twee dae van die Pwn2Own 2024-kompetisie, wat jaarliks as deel van die CanSecWest-konferensie in Vancouver gehou word, is opgesom. Werkstegnieke vir die ontginning van voorheen onbekende kwesbaarhede is ontwikkel vir Ubuntu Desktop, Windows 11, Docker, Oracle VirtualBox, VMWare Workstation, Adobe Reader, Firefox, Chrome, Edge en Tesla. Altesaam 23 suksesvolle aanvalle is gedemonstreer, wat 29 voorheen onbekende kwesbaarhede uitgebuit het.
Die aanvalle het die nuutste stabiele vrystellings van toepassings, blaaiers en bedryfstelsels met alle beskikbare opdaterings en verstekkonfigurasies gebruik. Die totale bedrag van vergoeding betaal was USD 1,132,500. Vir die inbraak van Tesla is 'n bykomende Tesla Model 3 toegeken. Die span met die meeste punte het $2 3,494,750 ontvang.
Aanvalle uitgevoer:
- Vier suksesvolle aanvalle op Ubuntu Desktop, wat 'n onbevoorregte gebruiker toelaat om wortelregte te kry (een toekenning van 20 duisend en 10 duisend dollar, twee toekennings van 5 duisend dollar). Die kwesbaarhede word deur rastoestande en bufferoorvloei veroorsaak.
- 'n Aanval op Firefox wat dit moontlik gemaak het om sandbox-isolasie te omseil en kode in die stelsel uit te voer wanneer 'n spesiaal ontwerpte bladsy oopgemaak word (toekenning van 100 duisend dollar). Die kwesbaarheid word veroorsaak deur 'n fout wat toelaat dat data gelees en geskryf word na 'n area buite die grens van die buffer wat vir 'n JavaScript-objek toegeken is, sowel as die moontlikheid om 'n gebeurtenishanteerder in 'n bevoorregte JavaScript-objek te vervang. Ontwikkelaars van Mozilla het dadelik die Firefox 124.0.1-opdatering gepubliseer, wat die geïdentifiseerde probleme uitgeskakel het.
- Vier aanvalle op Chrome, wat toegelaat het dat kode in die stelsel uitgevoer word wanneer 'n spesiaal ontwerpte bladsy oopgemaak word (een toekenning van 85 en 60 duisend dollar elk, twee toekennings van 42.5 duisend). Die kwesbaarhede word veroorsaak deur geheuetoegang na gratis, buite-buffer-lees en verkeerde invoervalidering. Die drie uitbuitings is universeel en werk nie net in Chrome nie, maar ook in Edge.
- 'n Aanval op Apple Safari wat toegelaat het dat kode in die stelsel uitgevoer word wanneer 'n spesiaal ontwerpte bladsy oopgemaak word (toekenning van $60 XNUMX). Die kwesbaarheid word veroorsaak deur 'n heelgetal oorloop.
- Vier hacks van Oracle VirtualBox wat jou toegelaat het om die gasstelsel te verlaat en kode aan die gasheerkant uit te voer (een toekenning van 90 duisend dollar en drie toekennings van 20 duisend dollar). Die aanvalle is uitgevoer deur die uitbuiting van kwesbaarhede wat veroorsaak word deur bufferoorlope, rastoestande en geheuetoegang na vry.
- 'N Aanval op Docker wat jou toegelaat het om uit 'n geïsoleerde houer te ontsnap (toekenning van 60 duisend dollar). Die kwesbaarheid word veroorsaak deur 'n geheue toegang na gratis.
- Twee aanvalle op VMWare Workstation wat dit moontlik gemaak het om by die gasstelsel af te meld en kode aan die gasheerkant uit te voer. Die aanvalle het 'n geheuetoegang na gratis gebruik, 'n bufferoorloop en 'n ongeïnitialiseerde veranderlike (premies van $30 en $130).
- Vyf aanvalle op Microsoft Windows 11 wat jou toegelaat het om jou voorregte te verhoog (drie bonusse van 15 duisend dollar, en een bonus van 30 duisend en 7500 XNUMX dollar elk). Die kwesbaarhede is veroorsaak deur rastoestande, heelgetaloorloop, verkeerde verwysingtelling en verkeerde insetvalidering.
- Kode uitvoering wanneer inhoud in Adobe Reader verwerk word ($50 duisend toekenning). Die aanval het 'n kwesbaarheid uitgebuit wat API-beperkings omseil en 'n fout wat bevelvervanging toegelaat het.
- 'n Aanval op die inligtingstelsel van 'n Tesla-motor, uitgevoer deur die manipulasie van die CAN BUS-bus en wat dit moontlik maak om 'n heelgetal oorloop te verkry en toegang tot die ECU (elektroniese beheereenheid) te verkry. Die toekenning het 200 duisend dollar en 'n Tesla Model 3-motor beloop.
- Pogings om Microsoft SharePoint en VMware ESXi te hack was onsuksesvol.
Die spesifieke komponente van die probleem is nog nie gerapporteer in ooreenstemming met die bepalings van die kompetisie nie, gedetailleerde inligting oor alle gedemonstreerde 0-dag kwesbaarhede sal eers na 90 dae gepubliseer word, wat aan die vervaardigers gegee word om opdaterings voor te berei wat die uitskakeling kwesbaarhede.
Bron: opennet.ru