Ang mga resulta sa duha ka adlaw sa Pwn2Own 2024 nga kompetisyon, nga gihimo kada tuig isip kabahin sa CanSecWest conference sa Vancouver, gisumada. Ang mga pamaagi sa pagtrabaho alang sa pagpahimulos sa wala pa nahibal-an nga mga kahuyangan naugmad alang sa Ubuntu Desktop, Windows 11, Docker, Oracle VirtualBox, VMWare Workstation, Adobe Reader, Firefox, Chrome, Edge ug Tesla. Usa ka kinatibuk-an nga 23 nga malampuson nga mga pag-atake ang gipakita, nga nagpahimulos sa 29 nga wala nahibal-an kaniadto nga mga kahuyangan.
Gigamit sa mga pag-atake ang pinakabag-o nga stable nga pagpagawas sa mga aplikasyon, browser ug operating system nga adunay tanang available nga updates ug default configurations. Ang kinatibuk-ang kantidad sa suhol nga gibayad kay USD 1,132,500. Alang sa pag-hack sa Tesla, usa ka dugang nga Tesla Model 3 ang gihatag. Ang kantidad sa mga ganti nga gibayad alang sa katapusang tulo ka Pwn2Own nga kompetisyon mikabat sa $3,494,750. Ang team nga adunay pinakadaghang puntos nakadawat og $202.
Gibuhat nga mga pag-atake:
- Upat ka malampuson nga pag-atake sa Ubuntu Desktop, nga nagtugot sa usa ka dili pribilihiyo nga tiggamit nga makakuha og mga katungod sa gamut (usa ka award nga 20 ka libo ug 10 ka libo ka dolyares, duha ka awards nga 5 ka libo ka dolyares). Ang mga kahuyangan tungod sa mga kondisyon sa lumba ug pag-awas sa buffer.
- Usa ka pag-atake sa Firefox nga nagpaposible sa pag-bypass sa sandbox isolation ug pagpatuman sa code sa sistema sa pag-abli sa usa ka espesyal nga gidisenyo nga panid (award sa 100 ka libo nga dolyar). Ang pagkahuyang tungod sa usa ka sayup nga nagtugot sa mga datos nga mabasa ug masulat sa usa ka lugar sa gawas sa utlanan sa buffer nga gigahin alang sa usa ka butang nga JavaScript, ingon man ang posibilidad nga ilisan ang usa ka tigdumala sa panghitabo sa usa ka pribilihiyo nga butang nga JavaScript. Mainit sa mga tikod, ang mga developers gikan sa Mozilla dali nga nagpatik sa pag-update sa Firefox 124.0.1, nga giwagtang ang nahibal-an nga mga problema.
- Upat ka mga pag-atake sa Chrome, nga nagtugot sa code nga ipatuman sa sistema sa pag-abli sa usa ka espesyal nga gidisenyo nga panid (usa ka award nga 85 ug 60 ka libo nga dolyar matag usa, duha ka awards nga 42.5 ka libo). Ang mga kahuyangan tungod sa pag-access sa memorya pagkahuman sa libre, walaβy buffer nga pagbasa, ug sayup nga pag-validate sa input. Ang tulo ka mga pagpahimulos kay unibersal ug nagtrabaho dili lamang sa Chrome, apan usab sa Edge.
- Usa ka pag-atake sa Apple Safari nga nagtugot sa code nga ipatuman sa sistema sa dihang nagbukas sa usa ka espesyal nga gidisenyo nga panid (award nga $60). Ang kahuyang kay tungod sa integer overflow.
- Upat ka mga hack sa Oracle VirtualBox nga nagtugot kanimo sa paggawas sa sistema sa bisita ug pag-execute sa code sa host side (usa ka award nga 90 ka libo ka dolyar ug tulo ka awards nga 20 ka libo ka dolyar). Ang mga pag-atake gihimo pinaagi sa pagpahimulos sa mga kahuyangan tungod sa pag-awas sa buffer, kondisyon sa lumba, ug pag-access sa memorya human sa libre.
- Usa ka pag-atake sa Docker nga nagtugot kanimo sa pag-ikyas gikan sa usa ka hilit nga sudlanan (award sa 60 ka libo nga dolyar). Ang pagkahuyang tungod sa usa ka pag-access sa memorya pagkahuman sa libre.
- Duha ka pag-atake sa VMWare Workstation nga nagtugot sa pag-log out sa guest system ug pagpatuman sa code sa host side. Ang mga pag-atake migamit ug memory access human sa libre, buffer overflow, ug uninitialized variable (premium nga $30 ug $130).
- Lima ka pag-atake sa Microsoft Windows 11 nga nagtugot kanimo sa pagdugang sa imong mga pribilehiyo (tulo ka bonus nga 15 ka libo nga dolyar, ug usa ka bonus nga 30 ka libo ug 7500 ka dolyar matag usa). Ang mga kahuyangan gipahinabo sa mga kondisyon sa lumba, pag-awas sa integer, dili husto nga pag-ihap sa reference, ug sayop nga pag-validate sa input.
- Pagpatuman sa code sa pagproseso sa sulod sa Adobe Reader ($50 thousand award). Gipahimuslan sa pag-atake ang usa ka kahuyang nga nagtugot sa pag-bypass sa mga pagdili sa API ug usa ka bug nga nagtugot sa pagpuli sa command.
- Usa ka pag-atake sa sistema sa impormasyon sa usa ka Tesla nga sakyanan, nga gihimo pinaagi sa pagmaniobra sa CAN BUS bus ug nagtugot sa pagkab-ot sa usa ka integer overflow ug makaangkon og access sa ECU (electronic control unit). Ang award mikabat sa 200 ka libo nga dolyar ug usa ka Tesla Model 3 nga awto.
- Ang mga pagsulay sa pag-hack sa Microsoft SharePoint ug VMware ESXi wala molampos.
Ang eksaktong mga sangkap sa problema wala pa gitaho; uyon sa mga termino sa kompetisyon, ang detalyado nga kasayuran bahin sa tanan nga gipakita nga 0-adlaw nga mga kahuyangan i-publish lamang pagkahuman sa 90 nga mga adlaw, nga gihatag sa mga tiggama aron maandam ang mga update nga magwagtang sa mga kahuyang.
Source: opennet.ru