Падведзены вынікі чатырох дзён спаборніцтваў Pwn2Own Toronto 2022, на якіх былі прадэманстраваны 63 раней невядомыя ўразлівасці (0-day) у мабільных прыладах, друкарках, разумных калонках, сістэмах захоўвання і маршрутызатарах. Пры правядзенні нападаў выкарыстоўваліся самыя свежыя прашыўкі і аперацыйныя сістэмы са ўсімі даступнымі абнаўленнямі і ў канфігурацыі па змаўчанні. Сумарны памер выплачаных узнагароджанняў склаў 934,750 долараў ЗША.
У спаборніцтве прынялі ўдзел 36 каманд і даследчыкаў бяспекі. Найбольш паспяховая каманда DEVCORE здолела зарабіць на спаборніцтвах 142 тысячы долараў ЗША. Уладальнікі другога месца (Team Viettel) атрымалі 82 тысячы долараў, а трэцяга (NCC group) – 78 тысяч долараў.
Падчас спаборніцтваў прадэманстраваны напады, якія прывялі да выдаленага выканання кода на прыладах:
- Друкарка Canon imageCLASS MF743Cdw (11 паспяховых нападаў, прэміі па $5000 і $10000).
- Друкарка Lexmark MC3224i (8 нападаў, прэміі па $7500, $10000 і $5000).
- Друкарка HP Color LaserJet Pro M479fdw (5 нападаў, прэміі $5000, $10000 і $20000).
- Разумная калонка Sonos One Speaker (3 напады, прэміі $22500 і $60000).
- Сеткавае сховішча Synology DiskStation DS920+ (дзве напады, прэміі $40000 і $20000).
- Сеткавае сховішча WD My Cloud Pro PR4100 (3 прэміі $20000 і адна прэмія $40000).
- Маршрутызатар Synology RT6600ax (5 нападаў праз WAN з прэміямі $20000 і дзве прэміі $5000 і $1250 за напад праз LAN).
- Маршрутызатар Cisco Integrated Service Router C921-4P ($37500).
- Маршрутызатар Mikrotik RouterBoard RB2011UiAS-IN (прэмія $100,000 за шматэтапны ўзлом – спачатку быў атакаваны маршрутызатар Mikrotik, а потым пасля атрымання доступу да LAN – друкарка Canon).
- Маршрутызатар NETGEAR RAX30 AX2400 (7 нападаў, прэміі $1250, $2500, $5000, $7500, $8500 і $10000).
- Маршрутызатар TP-Link AX1800/Archer AX21 (напад праз WAN, прэмія $20000, і напад праз LAN, прэмія $5000).
- Маршрутызатар Ubiquiti EdgeRouter X SFP ($50000).
- Cмартфон Samsung Galaxy S22 (4 напады, тры прэміі $25000 і адна прэмія $50000).
Акрамя вышэйадзначаных паспяховых нападаў, 11 спроб эксплуатацыі ўразлівасцяў завяршыліся няўдачай. На спаборніцтвах таксама было прапанавана ўзламаць Apple iPhone 13 і Google Pixel 6, але заявак на правядзенне нападаў не паступіла, хоць максімальны памер узнагароды за падрыхтоўку эксплоіта, які дазваляе выканаць код на ўзроўні ядра, для дадзеных прылад складаў $250,000. Незапатрабаванымі таксама засталіся прапановы па ўзломе сістэм хатняй аўтаматызацыі Amazon Echo Show 15, Meta Portal Go і Google Nest Hub Max, а таксама разумных калонак Apple HomePod Mini, Amazon Echo Studio і Google Nest Audio, памер прэміі за ўзлом якіх складаў $60,000.
У якіх менавіта кампанентах праблемы пакуль не паведамляецца, у адпаведнасці ўмовамі конкурсу дэталёвая інфармацыя аб усіх прадэманстраваных 0-day уразлівасцях будзе апублікавана толькі праз 120 дзён, якія даюцца на падрыхтоўку вытворцамі абнаўленняў з ухіленнем уразлівасцяў.
Крыніца: opennet.ru