Vuosittain osana CanSecWest-konferenssia järjestettävän Pwn2Own 2021 -kilpailun kolmen päivän tulokset on koottu yhteen. Viime vuoden tapaan kilpailu käytiin virtuaalisesti ja hyökkäykset esiteltiin verkossa. 23 kohdistetusta kohteesta esiteltiin toimivia tekniikoita aiemmin tuntemattomien haavoittuvuuksien hyödyntämiseksi Ubuntu Desktopille, Windows 10:lle, Chromelle, Safarille, Parallels Desktopille, Microsoft Exchangelle, Microsoft Teamsille ja Zoomille. Kaikissa tapauksissa testattiin ohjelmien uusimmat versiot, mukaan lukien kaikki saatavilla olevat päivitykset. Maksujen kokonaismäärä oli miljoona kaksisataa tuhatta Yhdysvaltain dollaria (kokonaispalkintorahasto oli puolitoista miljoonaa dollaria).
Kilpailussa tehtiin kolme yritystä hyödyntää Ubuntu Desktopin haavoittuvuuksia. Ensimmäinen ja toinen yritys olivat kelvollisia, ja hyökkääjät pystyivät osoittamaan paikallisen oikeuksien eskaloinnin hyödyntämällä aiemmin tuntemattomia puskurin ylivuotoon ja kaksinkertaiseen vapaaseen muistiin liittyviä haavoittuvuuksia (joita ongelman osia ei ole vielä raportoitu; kehittäjille annetaan 90 päivää aikaa korjata virheitä ennen tietojen paljastamista). Näistä haavoittuvuuksista maksettiin 30 XNUMX dollarin bonuksia.
Kolmas yritys, jonka teki toinen paikallisen oikeuksien väärinkäyttökategorian tiimi, onnistui vain osittain - hyväksikäyttö toimi ja mahdollisti pääkäyttäjän oikeudet, mutta hyökkäystä ei täysin tunnustettu, koska haavoittuvuuteen liittyvä virhe oli jo tiedossa. Ubuntu-kehittäjille ja korjauksen sisältävä päivitys oli valmisteilla.
Onnistunut hyökkäys osoitettiin myös Chromium-moottoriin perustuville selaimille - Google Chromelle ja Microsoft Edgelle. Hyödynnyksen luomisesta, jonka avulla voit suorittaa koodisi avattaessa erityisesti suunniteltu sivu Chromessa ja Edgessä (kahdelle selaimelle luotiin yksi universaali hyväksikäyttö), maksettiin 100 XNUMX dollarin palkinto. Korjaus on tarkoitus julkaista lähituntien aikana, toistaiseksi tiedetään vain, että haavoittuvuus on verkkosisällön käsittelystä vastaavassa prosessissa (renderöijä).
Muita onnistuneita hyökkäyksiä:
- 200 tuhatta dollaria Zoom-sovelluksen hakkeroinnista (onnistui suorittamaan koodinsa lähettämällä viestin toiselle käyttäjälle ilman, että vastaanottajan tarvitsee tehdä mitään). Hyökkäys käytti kolmea Zoomin haavoittuvuutta ja yhtä Windows-käyttöjärjestelmän haavoittuvuutta.
- 200 tuhatta dollaria Microsoft Exchangen hakkeroinnista (todennuksen ohittaminen ja palvelimen paikallisesti laajennetut oikeudet järjestelmänvalvojan oikeuksien saamiseksi). Toinen onnistuneesti toimiva hyväksikäyttö esiteltiin toiselle joukkueelle, mutta toista palkintoa ei maksettu, koska ensimmäinen joukkue oli jo käyttänyt samoja virheitä.
- 200 tuhatta dollaria Microsoft Teamsin hakkeroinnista (koodin suorittaminen palvelimella).
- 100 tuhatta dollaria Apple Safarin hyödyntämisestä (kokonaislukujen ylivuoto Safarissa ja puskurin ylivuoto macOS-ytimessä hiekkalaatikon ohittamiseksi ja koodin suorittamiseksi ydintasolla).
- 140 tuhatta dollaria Parallels Desktopin hakkeroinnista (virtuaalikoneesta poistuminen ja koodin suorittaminen pääjärjestelmässä). Hyökkäys toteutettiin hyödyntämällä kolmea erilaista haavoittuvuutta - alustamatonta muistivuotoa, pinon ylivuotoa ja kokonaislukujen ylivuotoa.
- Kaksi 40 tuhannen dollarin palkintoa kumpikin Parallels Desktopin hakkeroinnista (looginen virhe ja puskurin ylivuoto, joka mahdollisti koodin suorittamisen ulkoisessa käyttöjärjestelmässä virtuaalikoneen sisällä toimien).
- Kolme 40 tuhannen dollarin palkintoa kolmesta onnistuneesta Windows 10 -hyödynnyksestä (kokonaislukujen ylivuoto, pääsy jo vapautuneeseen muistiin ja kilpailuehto, joka mahdollisti JÄRJESTELMÄN oikeuksien saamisen).
Oracle VirtualBoxia yritettiin hakkeroida, mutta ne eivät onnistuneet. Ehdokkaat Firefoxin, VMware ESXin, Hyper-V-asiakkaan, MS Office 365:n, MS SharePointin, MS RDP:n ja Adobe Readerin hakkeroinnista jäivät lunastamatta. Kukaan ei myöskään halunnut esitellä Tesla-auton tietojärjestelmän hakkerointia, vaikka palkinto oli 600 tuhatta dollaria plus Tesla Model 3 -auto.
Lähde: opennet.ru