Se anunciaron los resultados de la competencia Pwn2Own Toronto 2023, de cuatro días de duración. Se detectaron 58 vulnerabilidades de día cero previamente desconocidas en dispositivos móviles, impresoras, altavoces inteligentes, sistemas de almacenamiento y routers. Los ataques utilizaron el firmware y los sistemas operativos más recientes, con todas las actualizaciones y configuraciones predeterminadas disponibles.
El monto total de las recompensas repartidas superó el millón de dólares estadounidenses (USD 1038500). El equipo más exitoso, el Equipo Viettel, obtuvo USD 180.000 en la competencia. El segundo lugar (Equipo Orca) recibió USD 116.250, y el tercer lugar (DEVCORE) USD 50.000.
Durante la competición se demostraron ataques que conducían a la ejecución remota de código en dispositivos:
- Enrutador Gigabit TP-Link Omada ($100000 y $31250 por hackear con una impresora Lexmark CX331adwe; $50000 por hackear con un almacenamiento en red QNAP TS-464; $40750 por hackear con una cámara Synology BC500; $50000 y $31250 por hackear con una impresora Canon imageCLASS MF753Cdw).
- Enrutador Synology RT6600ax ($50000 para hackear junto con QNAP TS-464 NAS).
- Teléfono inteligente Samsung Galaxy S23 (50000 dólares y tres recompensas de 25000 dólares por hackear utilizando vulnerabilidades causadas por una validación externa de datos insuficiente; 6250 dólares por usar un exploit ya conocido).
- Teléfono inteligente Xiaomi 13 Pro ($40000 y $20000).
- Cámara de seguridad Synology BC500 (recompensa de $30000 por un exploit de desbordamiento de búfer; $15000 por un exploit que utiliza tres vulnerabilidades; cinco recompensas de $3750 por utilizar un exploit conocido).
- Cámara de seguridad Wyze Cam v3 ($30000 por un exploit de inyección de comando, $15000 por un exploit de desbordamiento de búfer, $15000 por un exploit dual, $15000 por un exploit de desbordamiento de búfer del controlador del kernel inalámbrico, $3750 por usar un exploit conocido).
- Almacenamiento en red WD My Cloud Pro PR4100 (40 000 dólares por una explotación que involucra dos vulnerabilidades).
- NAS QNAP TS-464 ($40000 por un exploit que utiliza tres vulnerabilidades; $20000 por un exploit que utiliza dos vulnerabilidades; $20000 por un exploit que utiliza las vulnerabilidades de recorrido de directorio fuera de límites y sustitución de comandos; $12500 y $5000 por usar un exploit conocido).
- Impresora Canon imageCLASS MF753Cdw ($20000 más tres recompensas de $10000 por exploits de desbordamiento de búfer; $2500 y $2500 por usar un exploit conocido).
- Impresora Lexmark CX331adwe ($20000 por vulnerabilidad de corrupción de memoria; $10000 por vulnerabilidad de desbordamiento de búfer).
- HP Color LaserJet Pro MFP 4301fdw ($20000 por ataque a vulnerabilidad de desbordamiento de búfer).
- Altavoz inalámbrico Sonos Era 100 (60000 dólares por un exploit que aprovechó dos vulnerabilidades de lectura fuera de límites y de uso después de liberación; 30000 y 18750 dólares por un exploit de desbordamiento de búfer).
Además de los ataques exitosos mencionados anteriormente, fallaron 7 intentos de explotar las vulnerabilidades (tres intentos de piratear la impresora Canon imageCLASS MF753Cdw, dos intentos de piratear la Lexmark CX331adwe y dos intentos de piratear la Xiamoi 13 Pro).
Aún no se han informado los componentes específicos del problema. De acuerdo con los términos del concurso, la información detallada sobre todas las vulnerabilidades de día 0 demostradas se publicará solo después de 90 días, que se entrega a los fabricantes para preparar actualizaciones que eliminen las vulnerabilidades.
Fuente: opennet.ru
