تم تلخيص نتائج الأيام الأربعة من مسابقة Pwn2Own Toronto 2022، حيث تم عرض 63 ثغرة أمنية غير معروفة سابقًا (0 يوم) في الأجهزة المحمولة والطابعات ومكبرات الصوت الذكية وأنظمة التخزين وأجهزة التوجيه. استخدمت الهجمات أحدث البرامج الثابتة وأنظمة التشغيل مع جميع التحديثات المتاحة وفي التكوين الافتراضي. وبلغ إجمالي الرسوم المدفوعة 934,750 دولارًا أمريكيًا.
وشارك في المسابقة 36 فريقاً وباحثاً أمنياً. تمكن فريق DEVCORE الأكثر نجاحًا من كسب 142 ألف دولار أمريكي من المنافسة. وحصل الفائزون بالمركز الثاني (فريق فيتيل) على 82 ألف دولار، وحصل الفائزون بالمركز الثالث (مجموعة NCC) على 78 ألف دولار.
خلال المسابقة، تم عرض الهجمات التي أدت إلى تنفيذ تعليمات برمجية عن بعد على الأجهزة:
- طابعة Canon imageCLASS MF743Cdw (11 هجمة ناجحة، جوائز بقيمة 5000 دولار أمريكي و10000 دولار أمريكي).
- طابعة Lexmark MC3224i (8 هجمات، مكافآت قدرها 7500 دولار، 10000 دولار و5000 دولار).
- طابعة HP Color LaserJet Pro M479fdw (5 هجمات، جوائز بقيمة 5000 دولار، و10000 دولار، و20000 دولار).
- السماعة الذكية Sonos One المتحدث (3 هجمات، الأقساط 22500 دولار و60000 دولار).
- التخزين الشبكي Synology DiskStation DS920+ (هجومان، 40000 دولار أمريكي وقسط 20000 دولار أمريكي).
- WD My Cloud Pro PR4100 Network Storage (3 جوائز بقيمة 20000 دولار أمريكي وجائزة واحدة بقيمة 40000 دولار أمريكي).
- جهاز التوجيه Synology RT6600ax (5 هجمات عبر شبكة WAN مع مكافآت بقيمة 20000 دولار أمريكي ومكافأتين بقيمة 5000 دولار أمريكي و1250 دولارًا أمريكيًا للهجمات عبر شبكة LAN).
- موجه الخدمة المتكاملة Cisco C921-4P (37500 دولار).
- جهاز التوجيه Mikrotik RouterBoard RB2011UiAS-IN (جائزة قدرها 100,000 دولار للاختراق متعدد المراحل - في البداية تعرض جهاز التوجيه Mikrotik للهجوم، وبعد ذلك، بعد الوصول إلى الشبكة المحلية، تمت مهاجمة طابعة Canon).
- جهاز التوجيه NETGEAR RAX30 AX2400 (7 هجمات، 1250 دولارًا، 2500 دولار، 5000 دولار، 7500 دولار، 8500 دولار، و10000 دولار أقساط).
- جهاز التوجيه TP-Link AX1800/Archer AX21 (هجوم WAN، 20000 دولار أمريكي قسط، وهجوم LAN، 5000 دولار أمريكي ممتاز).
- راوتر Ubiquiti EdgeRouter X SFP (50000 دولار).
- الهاتف الذكي Samsung Galaxy S22 (4 هجمات، ثلاث جوائز بقيمة 25000 دولار أمريكي وجائزة واحدة بقيمة 50000 دولار أمريكي).
بالإضافة إلى الهجمات الناجحة المذكورة أعلاه، انتهت 11 محاولة لاستغلال الثغرات الأمنية بالفشل. وفي المسابقة، تم أيضًا اقتراح اختراق هاتفي Apple iPhone 13 وGoogle Pixel 6، لكن لم يتم تلقي أي طلبات لتنفيذ هجمات، على الرغم من أن الحد الأقصى لمكافأة إعداد برنامج استغلال يسمح بتنفيذ تعليمات برمجية على مستوى النواة لهذه الأجهزة كان 250,000 ألف دولار. . كما ظلت مقترحات اختراق أنظمة التشغيل الآلي للمنزل Amazon Echo Show 15 وMeta Portal Go وGoogle Nest Hub Max، بالإضافة إلى مكبرات الصوت الذكية Apple HomePod Mini وAmazon Echo Studio وGoogle Nest Audio، التي بلغت جائزة اختراقها 60,000 ألف دولار، لم يطالب بها أحد.
ما هي المكونات المحددة للمشكلة التي لم يتم الإبلاغ عنها بعد؛ وفقًا لشروط المنافسة، سيتم نشر المعلومات التفصيلية حول جميع الثغرات الأمنية التي تم إثباتها لمدة 0 يوم فقط بعد 120 يومًا، والتي يتم تقديمها إلى الشركات المصنعة لإعداد التحديثات التي تقضي على الثغرات الأمنية.
المصدر: opennet.ru