Objavljeni su rezultati trodnevnog takmičenja Pwn2Own Ireland 2026. Demonstrirano je 42 uspješna napada korištenjem prethodno nepoznatih zero-day ranjivosti u pametnim telefonima, pametnim kućnim uređajima, štampačima i AI alatima. Napadi su koristili najnoviji firmver i operativne sisteme sa svim dostupnim ažuriranjima i zadanim konfiguracijama. Ukupan nagradni fond iznosio je 1.33 miliona dolara.
Izvedeni napadi:
- Samsung Galaxy S26 pametni telefon: 6 uspješnih hakova. Isplaćene nagrade: 31250 dolara, 15750 dolara, 11000 dolara, 8500 dolara i 6250 dolara.
- Pametni telefon Google Pixel 10: 1 uspješan hak. Isplaćena nagrada od 150 dolara.
- Uređaj za kućnu automatizaciju Home Assistant Green: 6 uspješnih hakova. Isplaćene nagrade: 30000 dolara, 12000 dolara, 7500 dolara, 7000 dolara, 4750 dolara i 4500 dolara.
- Pametna svjetiljka Philips Hue Bridge Pro: 4 uspješna haka. Isplaćene nagrade: 40000 dolara, 12000 dolara, 6000 dolara i 5000 dolara.
- Garmin Index BPM mjerač krvnog pritiska: dva uspješna hakerska napada koja iskorištavaju ranjivosti prelijevanja bafera. Isplaćene su nagrade od 20000 i 6750 dolara.
- Pametni zvučnici Sonos Era 300: 5 uspješnih hakova koji iskorištavaju ranjivosti prelijevanja bafera i formatiranja stringova. Dodijeljene su nagrade od 50000, 17500, 12500, 10500 i 9500 dolara.
- Lexmark CX532adw štampač: 5 uspješnih hakova koji iskorištavaju ranjivosti korištenja memorije nakon oslobađanja. Dodijeljene nagrade: 20000, 10000, 5000, 5000 i 4250 dolara.
- Štampač Canon imageFORCE 1643F: 1 uspješan hakerski napad korištenjem ranjivosti povezanih s nedostatkom odgovarajuće autentifikacije, zamjenom naredbi i unaprijed definiranim vjerodajnicama za firmver. Isplaćena nagrada od 10000 dolara.
- Brother MFC-L8970CDW štampač: 1 uspješan hakerski napad. Nagrada isplaćena.
$ 20000. - LiteLLM AI gateway: 2 uspješna haka koja iskorištavaju ranjivosti povezane s nepravilnom validacijom unosa i zamjenom koda. Isplaćeno 40000 i 15000 dolara.
- Oracle Autonomous AI Database: 5 uspješnih propusta koji uključuju korištenje nakon oslobađanja i konfuziju tipova. Dodijeljene nagrade: 40000 USD, 14000 USD, 10000 USD, 6250 USD i 6000 USD.
- OpenAI Codex AI agent: 1 uspješan hak korištenjem ranjivosti zamjene argumenata. Plaćeno 40000 dolara.
- Dynamo AI platforma: 1 uspješan hak korištenjem ranjivosti prelijevanja bafera. Plaćeno 40000 dolara.
- Chroma vector DBMS: 2 uspješna haka. Plaćeno 12000 i 4500 dolara.
Pored gore navedenih uspješnih napada, devet pokušaja iskorištavanja ranjivosti nije uspjelo, u svim slučajevima zato što timovi nisu uspjeli završiti napad u roku.
Pokušaji hakovanja Brother MFC-L8970CDW štampača bili su neuspješni i
Lexmark CX532adwe, Garmin Index BPM mjerač krvnog pritiska, Google Pixel 10 pametni telefon, Chroma baza podataka i Home Assistant Green sistem za automatizaciju doma.
Konkretne komponente problema još nisu prijavljene. U skladu sa uslovima konkursa, detaljne informacije o svim pokazanim 0-dnevnim ranjivostima biće objavljene tek nakon 90 dana, koje se daju proizvođačima da pripreme ažuriranja koja eliminišu ranjivosti.
izvor: opennet.ru
