První soutěž ZeroDay Cloud, zaměřená na identifikaci zranitelností v open-source softwaru používaném v cloudových prostředích, se bude konat v Londýně 10. a 11. prosince na konferenci Black Hat Europe. Výherní fond soutěže je stanoven na 4.5 milionu dolarů. Největší cena, 300 000 dolarů, je vypsána za hacknutí nginxu. Odměny ve výši 100 000 dolarů jsou vypsány za hacknutí Apache Tomcat, Redis, PostgreSQL a MariaDB.
Aby účastníci získali ocenění, musí prokázat funkční exploity, které zneužívají dříve neznámé zranitelnosti typu zero-day. V kategorii „Virtualizace“ musí exploity umožňovat únik z izolovaného kontejneru nebo virtuálního počítače, zatímco v ostatních kategoriích musí vést ke vzdálenému spuštění kódu. Konfigurace pro napadené aplikace jsou hostovány na GitHubu.
Navrhují se následující kategorie, aplikace útoku a odměny:
- Kontejnery a virtualizace:
- Docker (40 000 dolarů za útočníkem připravený obraz kontejneru a 60 000 dolarů za útok s použitím libovolného obrazu),
- Kontejner (40 000/60 000 USD),
- balíček jádra Linux z Ubuntu (30 000 dolarů).
- Webové servery:
- nginx (300 000 dolarů),
- Apache Tomcat (100 000 dolarů),
- Vyslanec (50 000 dolarů),
- Caddy (50 000 dolarů).
- DBMS:
- Redis (25 000 USD pro RCE s ověřeným přístupem, 100 000 USD pro neověřený přístup),
- PostgreSQL (20 000/100 000 USD),
- MariaDB (20 000/100 000 dolarů).
- AI:
- Ollama (25 000 dolarů),
- vLLM (25 000 USD),
- Sada nástrojů NVIDIA Container Toolkit (40 000 dolarů za výstup z kontejneru).
- Kubernetes a cloudově nativní:
- Server Kubernetes API (40 000 USD),
- Server Kubelet (80 000 USD),
- Grafana (10 000 USD za RCE s ověřeným přihlášením a 40 000 USD za RCE bez ověřování),
- Prométheus (40 000 dolarů),
- Fluent Bit (10 000 dolarů).
- Nástroje pro automatizaci a DevOps:
- Apache Airflow (40 000 dolarů),
- Jenkins (40 000 dolarů),
- GitLab CE (40 000 dolarů).
Přihlášky se přijímají do 1. prosince. Zaměstnanci sponzorských společností (AWS, Microsoft, Google Cloud, Wiz) a obyvatelé sankcionovaných zemí (Rusko, Čína, Írán, Severní Korea, Kuba, Súdán, Sýrie, Libye, Libanon) se nemohou zúčastnit.
Zdroj: opennet.ru
