Se han resumido los resultados de cuatro días del concurso Pwn2Own Toronto 2022, en el que se demostraron 63 vulnerabilidades previamente desconocidas (día 0) en dispositivos móviles, impresoras, altavoces inteligentes, sistemas de almacenamiento y enrutadores. Los ataques utilizaron el firmware y los sistemas operativos más recientes con todas las actualizaciones disponibles y en la configuración predeterminada. El monto total de los honorarios pagados fue de 934,750 dólares EE.UU.
En el concurso participaron 36 equipos e investigadores de seguridad. El equipo DEVCORE más exitoso logró ganar 142 mil dólares estadounidenses en la competencia. Los ganadores del segundo lugar (equipo Viettel) recibieron $82 mil y los ganadores del tercer lugar (grupo NCC) recibieron $78 mil.
Durante la competición se demostraron ataques que conducían a la ejecución remota de código en dispositivos:
- Impresora Canon imageCLASS MF743Cdw (11 ataques exitosos, premios de $5000 y $10000).
- Impresora Lexmark MC3224i (8 ataques, bonos de $7500, $10000 y $5000).
- Impresora HP Color LaserJet Pro M479fdw (5 ataques, premios de $5000, $10000 y $20000).
- Altavoz inteligente Sonos One Speaker (3 ataques, primas $22500 y $60000).
- Almacenamiento en red Synology DiskStation DS920+ (dos ataques, primas de $40000 20000 y $XNUMX XNUMX).
- Almacenamiento en red WD My Cloud Pro PR4100 (3 premios de $20000 40000 y un premio de $XNUMX XNUMX).
- Router Synology RT6600ax (5 ataques vía WAN con bonos de $20000 y dos bonos de $5000 y $1250 para ataques vía LAN).
- Enrutador de servicio integrado Cisco C921-4P ($ 37500).
- Enrutador Mikrotik RouterBoard RB2011UiAS-IN (premio de 100,000 XNUMX dólares por piratería en varias etapas: primero se atacó el enrutador Mikrotik y luego, después de obtener acceso a la LAN, una impresora Canon).
- Enrutador NETGEAR RAX30 AX2400 (7 ataques, primas de $1250, $2500, $5000, $7500, $8500 y $10000).
- Enrutador TP-Link AX1800/Archer AX21 (ataque WAN, prima de $20000 5000 y ataque LAN, prima de $XNUMX).
- Enrutador SFP Ubiquiti EdgeRouter X ($ 50000).
- Smartphone Samsung Galaxy S22 (4 ataques, tres premios de $25000 y un premio de $50000).
Además de los ataques exitosos mencionados anteriormente, 11 intentos de explotar vulnerabilidades terminaron en fracaso. En el concurso también se propuso hackear el Apple iPhone 13 y el Google Pixel 6, pero no se recibieron solicitudes por realizar ataques, aunque la recompensa máxima por preparar un exploit que permita ejecutar código a nivel de kernel para estos dispositivos fue de 250,000 dólares. . Tampoco han sido reclamadas las propuestas para piratear los sistemas domóticos Amazon Echo Show 15, Meta Portal Go y Google Nest Hub Max, así como los altavoces inteligentes Apple HomePod Mini, Amazon Echo Studio y Google Nest Audio, cuyo premio por piratería ascendía a 60,000 dólares.
Los componentes específicos del problema aún no se han informado; de acuerdo con los términos del concurso, la información detallada sobre todas las vulnerabilidades de día 0 demostradas se publicará solo después de 120 días, que se entrega a los fabricantes para preparar actualizaciones que eliminen las vulnerabilidades.
Fuente: opennet.ru