Byly shrnuty výsledky tří dnů soutěže Pwn2Own Ireland 2026, během nichž bylo předvedeno 42 úspěšných útoků s využitím dosud neznámých zranitelností (0-day) na smartphonech, zařízeních pro chytrou domácnost, tiskárnách a AI nástrojích. Při provádění útoků byly použity nejnovější firmwary a operační systémy se všemi dostupnými aktualizacemi a v základním nastavení. Celkový prize pool činil 1,33 milionu dolarů.
Odznačené útoky:
- Smartphone Samsung Galaxy S26: 6 úspěšných hacků. Byly vyplaceny odměny ve výši 31 250 $, 15 750 $, 11 000 $, 8 500 $ a 6 250 $.
- Smartphone Google Pixel 10: 1 úspěšný hack. Byla vyplacena odměna 150 000 dolarů.
- Zařízení pro domácí automatizaci Home Assistant Green: 6 úspěšných hacků. Byly vyplaceny odměny ve výši 30 000 $, 12 000 $, 7 500 $, 7 000 $, 4 750 $ a 4 500 $.
- Chytré osvětlení Philips Hue Bridge Pro: 4 úspěšné hacky. Byly vyplaceny odměny ve výši 40 000 $, 12 000 $, 6 000 $ a 5 000 $.
- Tonometr Garmin Index BPM: 2 úspěšné hacky využívající zranitelnosti spojené s přetečením zásobníku. Byly vyplaceny odměny ve výši 20 000 $ a 6 750 $.
- Chytré reproduktory Sonos Era 300: 5 úspěšných hacků využívajících zranitelnosti spojené s přetečením zásobníku a chybou formátování řetězců. Byly vyplaceny odměny ve výši 50 000 $, 17 500 $, 12 500 $, 10 500 $ a 9 500 $.
- Tiskárna Lexmark CX532adw: 5 úspěšných hacků využívajících zranitelnosti spojené s přístupem k paměti po jejím uvolnění. Byly vyplaceny odměny ve výši 20 000 $, 10 000 $, 5 000 $, 5 000 $ a 4 250 $.
- Tiskárna Canon imageFORCE 1643F: 1 úspěšný hack využívající zranitelnosti spojené s nedostatkem správné autentizace, injekcí příkazů a předdefinovanými přihlašovacími údaji ve firmwaru. Byla vyplacena odměna 10 000 $.
- Tiskárna Brother MFC-L8970CDW: 1 úspěšný hack. Byla vyplacena odměna
$20000. - AI brána LiteLLM: 2 úspěšné hacky využívající zranitelnosti spojené s nesprávnou kontrolou vstupních dat a možností injekce kódu. Bylo vyplaceno 40 000 $ a 15 000 $.
- Systém automatizace správy databází Oracle Autonomous AI Database: 5 úspěšných hacků spojených s přístupem k paměti po uvolnění a nesprávným zpracováním typů (Type Confusion). Byly vyplaceny odměny ve výši 40 000 $, 14 000 $, 10 000 $, 6 250 $ a 6 000 $.
- AI agent OpenAI Codex: 1 úspěšný hack využívající zranitelnosti spojené s injekcí argumentu. Byla vyplacena odměna 40 000 $.
- AI platforma Dynamo: 1 úspěšný hack využívající zranitelnost spojenou s přetečením zásobníku. Byla vyplacena odměna 40 000 $.
- Vektorová SDB Chroma: 2 úspěšné hacky. Byly vyplaceny odměny ve výši 12 000 $ a 4 500 $.
Kromě zmíněných úspěšných útoků skončilo 9 pokusů o zneužití zranitelností neúspěšně, a to ve všech případech proto, že týmy nestihly provést útok v daném časovém limitu.
Neúspěšné byly pokusy o hackování tiskáren Brother MFC-L8970CDW a
Lexmark CX532adwe, tonometru Garmin Index BPM, chytrého telefonu Google Pixel 10, databáze Chroma a systému domácí automatizace Home Assistant Green.
O jakých konkrétních komponentách jsou problémy zatím nebyly oznámeny. V souladu s podmínkami soutěže budou podrobné informace o všech předvedených 0-day zranitelnostech zveřejněny až po 90 dnech, které jsou dány výrobcům na přípravu aktualizací odstraňujících zranitelnosti.
Zdroj: opennet.ru
