Τα αποτελέσματα του τριήμερου διαγωνισμού Pwn2Own Ireland 2026 ανακοινώθηκαν. 42 επιτυχημένες επιθέσεις καταδείχθηκαν χρησιμοποιώντας προηγουμένως άγνωστα τρωτά σημεία zero-day σε smartphones, έξυπνες οικιακές συσκευές, εκτυπωτές και εργαλεία τεχνητής νοημοσύνης. Οι επιθέσεις χρησιμοποίησαν το πιο πρόσφατο υλικολογισμικό και λειτουργικά συστήματα με όλες τις διαθέσιμες ενημερώσεις και τις προεπιλεγμένες διαμορφώσεις. Το συνολικό χρηματικό έπαθλο ανήλθε σε 1.33 εκατομμύρια δολάρια.
Πραγματοποιήθηκαν επιθέσεις:
- Smartphone Samsung Galaxy S26: 6 επιτυχημένες επιθέσεις hack. Πληρωμές αμοιβής: 31250 $, 15750 $, 11000 $, 8500 $ και 6250 $.
- Smartphone Google Pixel 10: 1 επιτυχημένο hack. Πληρώθηκε ανταμοιβή 150 δολαρίων.
- Οικιακός Βοηθός Πράσινη συσκευή αυτοματισμού σπιτιού: 6 επιτυχημένα hacks. Πληρώθηκαν αμοιβές: 30000 $, 12000 $, 7500 $, 7000 $, 4750 $ και 4500 $.
- Έξυπνο φως Philips Hue Bridge Pro: 4 επιτυχημένα hacks. Πληρώθηκαν αμοιβές: 40000 $, 12000 $, 6000 $ και 5000 $.
- Πιεσόμετρο Garmin Index BPM: δύο επιτυχημένα hacks που εκμεταλλεύονται ευπάθειες υπερχείλισης buffer. Καταβλήθηκαν αμοιβές 20000$ και 6750$.
- Έξυπνα ηχεία Sonos Era 300: 5 επιτυχημένα hacks που εκμεταλλεύονται ευπάθειες υπερχείλισης buffer και μορφοποίησης συμβολοσειρών. Απονεμήθηκαν αμοιβές ύψους 50000 $, 17500 $, 12500 $, 10500 $ και 9500 $.
- Εκτυπωτής Lexmark CX532adw: 5 επιτυχημένες επιθέσεις hack που εκμεταλλεύονται ευπάθειες χρήσης μνήμης μετά την απελευθέρωση. Απονεμήθηκαν αμοιβές: 20000 $, 10000 $, 5000 $, 5000 $ και 4250 $.
- Εκτυπωτής Canon imageFORCE 1643F: 1 επιτυχημένη παραβίαση δεδομένων που χρησιμοποίησε ευπάθειες που σχετίζονται με έλλειψη σωστού ελέγχου ταυτότητας, αντικατάστασης εντολών και προκαθορισμένων διαπιστευτηρίων υλικολογισμικού. Πληρώθηκε ανταμοιβή 10000 $.
- Εκτυπωτής Brother MFC-L8970CDW: 1 επιτυχημένο hack. Η ανταμοιβή πληρώθηκε.
$ 20000. - Πύλη τεχνητής νοημοσύνης LiteLLM: 2 επιτυχημένες επιθέσεις hack που εκμεταλλεύονταν ευπάθειες που σχετίζονται με ακατάλληλη επικύρωση εισόδου και αντικατάσταση κώδικα. Πληρωμή 40000 $ και 15000 $.
- Βάση δεδομένων Oracle Autonomous AI: 5 επιτυχημένα exploits που αφορούν χρήση μετά την απελευθέρωση και σύγχυση τύπων. Απονεμηθέντα ποσά: 40000 $, 14000 $, 10000 $, 6250 $ και 6000 $.
- Πράκτορας τεχνητής νοημοσύνης OpenAI Codex: 1 επιτυχημένη παραβίαση με χρήση ευπαθειών αντικατάστασης ορισμάτων. Πληρωμή 40000 $.
- Πλατφόρμα Dynamo AI: 1 επιτυχημένη παραβίαση με χρήση ευπάθειας υπερχείλισης buffer. Πληρώθηκαν 40000 δολάρια.
- ΣΔΒΔ Chroma vector: 2 επιτυχημένα hacks. 12000 $ και 4500 $ πληρωμένα.
Εκτός από τις επιτυχημένες επιθέσεις που αναφέρθηκαν παραπάνω, εννέα προσπάθειες εκμετάλλευσης των ευπαθειών απέτυχαν, σε όλες τις περιπτώσεις επειδή οι ομάδες δεν κατάφεραν να ολοκληρώσουν την επίθεση εντός του χρονικού ορίου.
Οι προσπάθειες παραβίασης των εκτυπωτών Brother MFC-L8970CDW ήταν ανεπιτυχείς και
Lexmark CX532adwe, πιεσόμετρο Garmin Index BPM, smartphone Google Pixel 10, βάση δεδομένων Chroma και σύστημα αυτοματισμού σπιτιού Home Assistant Green.
Τα συγκεκριμένα στοιχεία του προβλήματος δεν έχουν ακόμη αναφερθεί. Σύμφωνα με τους όρους του διαγωνισμού, λεπτομερείς πληροφορίες για όλες τις αποδεδειγμένες ευπάθειες 0 ημερών θα δημοσιευτούν μόνο μετά από 90 ημέρες, οι οποίες δίνονται στους κατασκευαστές για να προετοιμάσουν ενημερώσεις που εξαλείφουν τις ευπάθειες.
Πηγή: opennet.ru
