ZeroDay pilve haavatavuste võistlus 4.5 miljoni dollari suuruse auhinnafondiga

Esimene ZeroDay Cloudi võistlus, mille eesmärk on tuvastada pilvekeskkondades kasutatava avatud lähtekoodiga tarkvara haavatavusi, toimub Londonis 10.-11. detsembril Black Hat Europe'i konverentsil. Võistluse auhinnafond on 4.5 miljonit dollarit. Suurim auhind, 300 000 dollarit, on mõeldud nginxi häkkimise eest. Apache Tomcati, Redise, PostgreSQLi ja MariaDB häkkimise eest on välja pandud 100 000 dollari suurune preemia.

Auhindade saamiseks peavad osalejad demonstreerima toimivaid ärakasutamisviise, mis kasutavad ära seni tundmatuid nullpäeva haavatavusi. Virtualiseerimise kategoorias peavad ärakasutamisviisid võimaldama pääseda välja isoleeritud konteinerist või virtuaalmasinast, teistes kategooriates aga viima koodi kaugkäivitamiseni. Häkitud rakenduste konfiguratsioonid asuvad GitHubis.

Pakutakse järgmisi kategooriaid, rünnakurakendusi ja preemiaid:

• Konteinerid ja virtualiseerimine:
  • Docker (40 000 dollarit ründaja ettevalmistatud konteineri kujutise eest ja 60 000 dollarit mis tahes kujutise abil toimuva rünnaku eest),
  • Konteinerveoga (40 000/60 000 dollarit),
  • kerneli pakett Linux kohta Ubuntu (30 000 dollarit).
• Veebiserverid:
  • nginx (300 000 dollarit),
  • Apache Tomcat (100 000 dollarit),
  • Saadik (50 000 dollarit),
  • Caddy (50 000 dollarit).
• DBMS:
  • Redis (25 000 dollarit RCE eest autentitud juurdepääsuga, 100 000 dollarit autentimata juurdepääsu eest),
  • PostgreSQL (20 000/100 000 dollarit),
  • MariaDB (20 000/100 000 dollarit).
• ON:
  • Ollama (25 000 dollarit),
  • vLLM (25 000 dollarit),
  • NVIDIA Container Toolkit (40 000 dollarit konteineri väljumise kohta).
• Kubernetes ja pilvepõhine:
  • Kubernetes API server (40 000 dollarit),
  • Kubeleti server (80 000 dollarit),
  • Grafana (10 000 dollarit RCE eest autentitud sisselogimise eest ja 40 000 dollarit RCE eest ilma autentimiseta),
  • Prometheus (40 000 dollarit),
  • Sujuv Bit (10 000 dollarit).
• Automatiseerimis- ja DevOps-tööriistad:
  • Apache õhuvool (40 000 dollarit),
  • Jenkins (40 000 dollarit),
  • GitLab CE (40 000 dollarit).

Avaldusi võetakse vastu kuni 1. detsembrini. Sponsorfirmade (AWS, Microsoft, Google Cloud, Wiz) töötajad ja sanktsioonidega riikide (Venemaa, Hiina, Iraan, Põhja-Korea, Kuuba, Sudaan, Süüria, Liibüa, Liibanon) elanikud ei saa osaleda.

Allikas: opennet.ru