Pwn2Own 2024 સ્પર્ધામાં ઉબુન્ટુ, ફાયરફોક્સ, ક્રોમ, ડોકર અને વર્ચ્યુઅલબોક્સના હેક્સનું પ્રદર્શન કરવામાં આવ્યું હતું.

વાનકુવરમાં CanSecWest કોન્ફરન્સના ભાગરૂપે વાર્ષિક ધોરણે યોજાતી Pwn2Own 2024 સ્પર્ધાના બે દિવસના પરિણામોનો સારાંશ આપવામાં આવ્યો છે. ઉબુન્ટુ ડેસ્કટોપ, વિન્ડોઝ 11, ડોકર, ઓરેકલ વર્ચ્યુઅલબોક્સ, વીએમવેર વર્કસ્ટેશન, એડોબ રીડર, ફાયરફોક્સ, ક્રોમ, એજ અને ટેસ્લા માટે અગાઉની અજાણી નબળાઈઓનું શોષણ કરવા માટેની કાર્યકારી તકનીકો વિકસાવવામાં આવી છે. કુલ 23 સફળ હુમલાઓ દર્શાવવામાં આવ્યા હતા, જેમાં અગાઉની 29 અજાણી નબળાઈઓનો ઉપયોગ કરવામાં આવ્યો હતો.

હુમલામાં તમામ ઉપલબ્ધ અપડેટ્સ અને ડિફૉલ્ટ રૂપરેખાંકનો સાથે એપ્લિકેશન્સ, બ્રાઉઝર્સ અને ઑપરેટિંગ સિસ્ટમ્સના નવીનતમ સ્થિર પ્રકાશનોનો ઉપયોગ કરવામાં આવ્યો હતો. ચૂકવવામાં આવેલ મહેનતાણુંની કુલ રકમ USD 1,132,500 હતી. ટેસ્લાને હેકિંગ કરવા માટે, વધારાના ટેસ્લા મોડલ 3 એનાયત કરવામાં આવ્યા હતા. છેલ્લી ત્રણ Pwn2Own સ્પર્ધાઓ માટે ચૂકવવામાં આવેલા પુરસ્કારોની રકમ $3,494,750 જેટલી હતી. સૌથી વધુ પોઈન્ટ ધરાવતી ટીમને $202 મળ્યા.

કરેલા હુમલાઓ:

• ઉબુન્ટુ ડેસ્કટોપ પર ચાર સફળ હુમલાઓ, જે બિનપ્રાપ્તિહીન વપરાશકર્તાને રૂટ રાઇટ્સ (20 હજાર અને 10 હજાર ડોલરનો એક એવોર્ડ, 5 હજાર ડોલરના બે એવોર્ડ) મેળવવાની મંજૂરી આપે છે. નબળાઈઓ જાતિની પરિસ્થિતિઓ અને બફર ઓવરફ્લોને કારણે થાય છે.
• ફાયરફોક્સ પર હુમલો જેણે સેન્ડબોક્સ આઇસોલેશનને બાયપાસ કરવાનું શક્ય બનાવ્યું અને સિસ્ટમમાં કોડને એક્ઝિક્યુટ કરવાનું શક્ય બનાવ્યું જ્યારે ખાસ ડિઝાઇન કરેલ પૃષ્ઠ (100 હજાર ડોલરનો પુરસ્કાર) ખોલ્યો. નબળાઈ એ ભૂલને કારણે થાય છે જે JavaScript ઑબ્જેક્ટ માટે ફાળવેલ બફરની સીમાની બહારના વિસ્તારમાં ડેટાને વાંચવા અને લખવાની મંજૂરી આપે છે, તેમજ ઇવેન્ટ હેન્ડલરને વિશેષાધિકૃત JavaScript ઑબ્જેક્ટમાં બદલવાની શક્યતા છે. હોટ ઓન ધ હીલ્સ, મોઝિલાના ડેવલપર્સે તરત જ ફાયરફોક્સ 124.0.1 અપડેટ પ્રકાશિત કર્યું, ઓળખાયેલી સમસ્યાઓ દૂર કરી.
• ક્રોમ પર ચાર હુમલાઓ, જેણે ખાસ ડિઝાઇન કરેલ પેજ ખોલતી વખતે સિસ્ટમમાં કોડ ચલાવવાની મંજૂરી આપી હતી (દરેક 85 અને 60 હજાર ડોલરનો એક એવોર્ડ, 42.5 હજારના બે એવોર્ડ). નબળાઈઓ ફ્રી, આઉટ-ઓફ-બફર રીડ્સ અને ખોટી ઇનપુટ માન્યતા પછી મેમરી એક્સેસને કારણે થાય છે. ત્રણ શોષણ સાર્વત્રિક છે અને માત્ર ક્રોમમાં જ નહીં, પણ એજમાં પણ કામ કરે છે.
• Apple Safari પરનો હુમલો કે જેણે ખાસ ડિઝાઇન કરેલ પૃષ્ઠ ($60 નો પુરસ્કાર) ખોલતી વખતે સિસ્ટમમાં કોડને અમલમાં મૂકવાની મંજૂરી આપી. નબળાઈ પૂર્ણાંક ઓવરફ્લોને કારણે થાય છે.
• ઓરેકલ વર્ચ્યુઅલબોક્સના ચાર હેક્સ કે જે તમને ગેસ્ટ સિસ્ટમમાંથી બહાર નીકળવાની અને હોસ્ટ બાજુ પર કોડ ચલાવવાની મંજૂરી આપે છે (90 હજાર ડોલરનો એક એવોર્ડ અને 20 હજાર ડોલરના ત્રણ એવોર્ડ). હુમલાઓ બફર ઓવરફ્લો, રેસની સ્થિતિ અને ફ્રી પછી મેમરી એક્સેસને કારણે થતી નબળાઈઓનો ઉપયોગ કરીને કરવામાં આવ્યા હતા.
• ડોકર પરનો હુમલો જેણે તમને એક અલગ કન્ટેનરમાંથી છટકી જવાની મંજૂરી આપી (60 હજાર ડોલરનો પુરસ્કાર). નબળાઈ ફ્રી પછી મેમરી એક્સેસને કારણે થાય છે.
• VMWare વર્કસ્ટેશન પર બે હુમલાઓ કે જે ગેસ્ટ સિસ્ટમમાંથી લોગ આઉટ અને હોસ્ટ બાજુ પર કોડ ચલાવવાની મંજૂરી આપે છે. હુમલાઓમાં ફ્રી પછી મેમરી એક્સેસ, બફર ઓવરફ્લો અને બિનપ્રારંભિક ચલ ($30 અને $130નું પ્રીમિયમ)નો ઉપયોગ કરવામાં આવ્યો હતો.
• માઈક્રોસોફ્ટ વિન્ડોઝ 11 પર પાંચ હુમલાઓ જે તમને તમારા વિશેષાધિકારો (15 હજાર ડોલરના ત્રણ બોનસ અને 30 હજાર અને 7500 ડોલરનું એક બોનસ) વધારવાની મંજૂરી આપે છે. નબળાઈઓ જાતિની સ્થિતિ, પૂર્ણાંક ઓવરફ્લો, ખોટી સંદર્ભ ગણતરી અને ખોટી ઇનપુટ માન્યતાને કારણે થઈ હતી.
• Adobe Reader ($50 હજાર પુરસ્કાર) માં સામગ્રીની પ્રક્રિયા કરતી વખતે કોડનો અમલ. હુમલાએ એક નબળાઈનો ઉપયોગ કર્યો જેણે API પ્રતિબંધોને બાયપાસ કરવાની મંજૂરી આપી અને એક બગ કે જે આદેશની અવેજીમાં મંજૂરી આપે છે.
• ટેસ્લા કારની ઇન્ફર્મેશન સિસ્ટમ પર હુમલો, CAN બસ બસની હેરાફેરી દ્વારા કરવામાં આવ્યો અને પૂર્ણાંક ઓવરફ્લો હાંસલ કરવા અને ECU (ઇલેક્ટ્રોનિક કંટ્રોલ યુનિટ)માં પ્રવેશ મેળવવાની મંજૂરી આપી. એવોર્ડની રકમ 200 હજાર ડોલર અને ટેસ્લા મોડલ 3 કાર છે.
• Microsoft SharePoint અને VMware ESXi ને હેક કરવાના પ્રયાસો અસફળ રહ્યા હતા.

સમસ્યાના ચોક્કસ ઘટકોની હજુ સુધી જાણ કરવામાં આવી નથી; સ્પર્ધાની શરતો અનુસાર, તમામ પ્રદર્શિત 0-દિવસની નબળાઈઓ વિશેની વિગતવાર માહિતી 90 દિવસ પછી જ પ્રકાશિત કરવામાં આવશે, જે ઉત્પાદકોને અપડેટ્સ તૈયાર કરવા માટે આપવામાં આવે છે જે આ સમસ્યાને દૂર કરે છે. નબળાઈઓ

સોર્સ: opennet.ru