На соревновании Tianfu Cup продемонстрированы 0-day уязвимости в Chrome и qemu-kvm

На прошедшем в Китае состязании Tianfu Cup PWN Contest (аналог Pwn2Own для китайских исследователей безопасности) продемонстрировано два успешных взлома Chrome и один взлом qemu-kvm в окружении Ubuntu, позволивший выйти из изолированного окружения и выполнить код на стороне хост-системы. Взломы были выполнены с использованием ещё не исправленных 0-day уязвимостей. Кроме того, на соревновании были успешно эксплуатированы новые уязвимости в Edge, Safari, Office 365, Adobe PDF Reader, VMWare Workstation и беспроводном маршрутизаторе D-Link DIR-878.

За два дня состязаний было предпринято 28 попыток демонстрации взломов c использованием 0-day уязвимостей, из которых 20 оказались успешными. Наиболее успешной оказалась группа 360Vulcan, которая за дни соревнования заработала 382 тысяч долларов, из которых 200 тысяч долларов было выплачено за эксплоит VMWare, а 80 тысяч за атаку QEMU в окружении Ubuntu. Соревнование Tianfu Cup было организовано после того, как в прошлом году правительство Китая запретило китайским исследователям безопасности участвовать в международных соревнованиях по взлому ПО, таких как Pwn2Own.

Источник: opennet.ru