Pwn2Own 2020 प्रतियोगिता में उबंटू, विंडोज, मैकओएस और वर्चुअलबॉक्स के हैक्स का प्रदर्शन किया गया

सारांश पेश करना CanSecwest सम्मेलन के भाग के रूप में प्रतिवर्ष आयोजित होने वाली दो दिनों की प्रतियोगिताओं Pwn2Own 2020 के परिणाम। इस वर्ष प्रतियोगिता वस्तुतः आयोजित की गई और हमलों का ऑनलाइन प्रदर्शन किया गया। प्रतियोगिता में उबंटू डेस्कटॉप (लिनक्स कर्नेल), विंडोज, मैकओएस, सफारी, वर्चुअलबॉक्स और एडोब रीडर में पहले से अज्ञात कमजोरियों का फायदा उठाने के लिए कार्य तकनीक प्रस्तुत की गई। भुगतान की कुल राशि 270 हजार डॉलर (कुल पुरस्कार राशि) थी बना हुआ 4 मिलियन अमेरिकी डॉलर से अधिक)।

• इनपुट मानों के गलत सत्यापन (पुरस्कार $30) से जुड़े लिनक्स कर्नेल में भेद्यता का फायदा उठाकर उबंटू डेस्कटॉप में विशेषाधिकारों का स्थानीय विस्तार;
• वर्चुअलबॉक्स में अतिथि वातावरण से बाहर निकलने और हाइपरविजर अधिकारों के साथ कोड निष्पादित करने का प्रदर्शन, दो कमजोरियों का फायदा उठाना - आवंटित बफर के बाहर के क्षेत्र से डेटा पढ़ने की क्षमता और अप्रारंभीकृत चर (40 हजार डॉलर का पुरस्कार) के साथ काम करते समय एक त्रुटि। प्रतियोगिता के बाहर, ज़ीरो डे इनिशिएटिव के प्रतिनिधियों ने एक और वर्चुअलबॉक्स हैक का भी प्रदर्शन किया, जो अतिथि वातावरण में हेरफेर के माध्यम से होस्ट सिस्टम तक पहुंच की अनुमति देता है;
  
  
  

• MacOS कर्नेल स्तर पर उन्नत विशेषाधिकारों के साथ Safari को हैक करना और कैलकुलेटर को रूट के रूप में चलाना। शोषण के लिए, 6 त्रुटियों की एक श्रृंखला का उपयोग किया गया (पुरस्कार 70 हजार डॉलर);
• कमजोरियों के शोषण के माध्यम से विंडोज़ में स्थानीय विशेषाधिकार वृद्धि के दो प्रदर्शन जो पहले से ही मुक्त मेमोरी क्षेत्र तक पहुंच की ओर ले जाते हैं (प्रत्येक 40 हजार डॉलर के दो पुरस्कार);
• एडोब रीडर में विशेष रूप से डिज़ाइन किए गए पीडीएफ दस्तावेज़ को खोलते समय विंडोज़ में व्यवस्थापक पहुंच प्राप्त करना। हमले में एक्रोबैट और विंडोज कर्नेल में पहले से ही मुक्त मेमोरी क्षेत्रों ($ 50 का पुरस्कार) तक पहुंचने से संबंधित कमजोरियां शामिल हैं।

क्रोम, फायरफॉक्स, एज, माइक्रोसॉफ्ट हाइपर-वी क्लाइंट, माइक्रोसॉफ्ट ऑफिस और माइक्रोसॉफ्ट विंडोज आरडीपी को हैक करने के लिए नामांकन लावारिस रहे। VMware वर्कस्टेशन को हैक करने का प्रयास किया गया, लेकिन यह असफल रहा।
पिछले साल की तरह, पुरस्कार श्रेणियों में अधिकांश ओपन सोर्स प्रोजेक्ट्स (nginx, OpenSSL, Apache httpd) के हैक शामिल नहीं थे।

अलग से, हम टेस्ला कार की सूचना प्रणाली को हैक करने के विषय पर ध्यान दे सकते हैं। $700 हजार के अधिकतम पुरस्कार के बावजूद, प्रतियोगिता में टेस्ला को हैक करने का कोई प्रयास नहीं किया गया, लेकिन अलग से जानकारी दिखाई दी टेस्ला मॉडल 2020 में DoS भेद्यता (CVE-10558-3) की पहचान के बारे में, जो अंतर्निहित ब्राउज़र में विशेष रूप से डिज़ाइन किए गए पेज को खोलने पर, ऑटोपायलट से सूचनाओं को अक्षम करने और घटकों के संचालन को बाधित करने की अनुमति देता है स्पीडोमीटर, ब्राउज़र, एयर कंडीशनिंग, नेविगेशन सिस्टम, आदि।

स्रोत: opennet.ru