Sumirani su rezultati tri dana natjecanja Pwn2Own 2021, koje se svake godine održava u sklopu konferencije CanSecWest. Kao i prošle godine, natjecanje je održano virtualno, a napadi su prikazani online. Od 23 ciljane mete, radne tehnike za iskorištavanje dosad nepoznatih ranjivosti demonstrirane su za Ubuntu Desktop, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams i Zoom. U svim slučajevima testirane su najnovije verzije programa, uključujući sva dostupna ažuriranja. Ukupan iznos isplata iznosio je milijun dvjesto tisuća američkih dolara (ukupni nagradni fond iznosio je milijun i pol dolara).
Na natjecanju su tri puta pokušana iskorištavanja ranjivosti Ubuntu Desktopa. Prvi i drugi pokušaj bili su ispravni i napadači su uspjeli demonstrirati lokalnu eskalaciju privilegija iskorištavanjem ranije nepoznatih ranjivosti povezanih s prekoračenjem međuspremnika i dvostrukom slobodnom memorijom (koje komponente problema još nisu prijavljene; programerima je dano 90 dana da isprave greške prije objavljivanja podataka). Za ove ranjivosti plaćeni su bonusi od 30 dolara.
Treći pokušaj, koji je napravio drugi tim u kategoriji zlouporabe lokalnih povlastica, bio je samo djelomično uspješan - eksploatacija je uspjela i omogućila dobivanje root pristupa, ali napad nije u potpunosti zaslužan, jer je pogreška povezana s ranjivošću već bila poznata programerima Ubuntua i ažuriranje s popravkom bilo je u procesu pripreme.
Uspješan napad demonstriran je i za preglednike temeljene na Chromium motoru - Google Chrome i Microsoft Edge. Za stvaranje exploita koji vam omogućuje izvršavanje koda prilikom otvaranja posebno dizajnirane stranice u Chromeu i Edgeu (stvoren je jedan univerzalni exploit za dva preglednika) isplaćena je nagrada od 100 tisuća dolara. Popravak se planira objaviti u nadolazećim satima, zasad je poznato samo da je ranjivost prisutna u procesu odgovornom za obradu web sadržaja (renderer).
Ostali uspješni napadi:
- 200 tisuća dolara za hakiranje aplikacije Zoom (uspio izvršiti svoj kod slanjem poruke drugom korisniku, bez potrebe za ikakvim djelovanjem od strane primatelja). U napadu su korištene tri ranjivosti u Zoomu i jedna u Windows operativnom sustavu.
- 200 tisuća dolara za hakiranje Microsoft Exchangea (zaobilaženje autentifikacije i lokalno povećanje privilegija na poslužitelju radi dobivanja administratorskih prava). Još jedan uspješan podvig demonstriran je drugom timu, ali druga nagrada nije isplaćena, budući da je iste pogreške već koristio prvi tim.
- 200 tisuća dolara za hakiranje Microsoft Teamsa (izvršavanje koda na serveru).
- 100 tisuća dolara za iskorištavanje Apple Safarija (prelivanje cijelog broja u Safariju i prekoračenje međuspremnika u jezgri macOS-a za zaobilaženje sandboxa i izvršavanje koda na razini jezgre).
- 140 tisuća dolara za hakiranje Parallels Desktopa (izlazak iz virtualnog stroja i izvršavanje koda na glavnom sustavu). Napad je izveden kroz iskorištavanje tri različite ranjivosti - neinicijalizirano curenje memorije, preljev stacka i preljev cijelog broja.
- Dvije nagrade od po 40 tisuća dolara za hakiranje Parallels Desktopa (logička pogreška i prekoračenje međuspremnika koje je omogućilo izvršavanje koda u vanjskom OS-u putem radnji unutar virtualnog stroja).
- Tri nagrade od 40 tisuća dolara za tri uspješna exploita Windowsa 10 (prelivanje cijelog broja, pristup već oslobođenoj memoriji i uvjet utrke koji je omogućio dobivanje privilegija SUSTAVA).
Pokušalo se, ali bezuspješno, hakirati Oracle VirtualBox. Nominacije za hakiranje Firefoxa, VMware ESXi, Hyper-V klijenta, MS Office 365, MS SharePointa, MS RDP-a i Adobe Readera ostale su nezatražene. Također nije bilo voljnih demonstrirati hakiranje informacijskog sustava automobila Tesla, unatoč nagradi od 600 tisuća dolara plus automobil Tesla Model 3.
Izvor: opennet.ru