Ամփոփվել են ամեն տարի CanSecWest կոնֆերանսի շրջանակներում անցկացվող Pwn2Own 2021 մրցույթի երեք օրերի արդյունքները։ Ինչպես նախորդ տարի, մրցույթն անցկացվել է վիրտուալ, և հարձակումները ցուցադրվել են առցանց։ Թիրախային 23 թիրախներից նախկինում անհայտ խոցելիության շահագործման տեխնիկան ցուցադրվել է Ubuntu Desktop-ի, Windows 10-ի, Chrome-ի, Safari-ի, Parallels Desktop-ի, Microsoft Exchange-ի, Microsoft Teams-ի և Zoom-ի համար: Բոլոր դեպքերում փորձարկվել են ծրագրերի վերջին տարբերակները, ներառյալ առկա բոլոր թարմացումները: Վճարումների ընդհանուր գումարը կազմել է մեկ միլիոն երկու հարյուր հազար ԱՄՆ դոլար (ընդհանուր մրցանակային ֆոնդը՝ մեկուկես միլիոն դոլար)։
Մրցույթում երեք փորձ է արվել օգտագործել Ubuntu Desktop-ի խոցելիությունը: Առաջին և երկրորդ փորձերը վավեր էին, և հարձակվողները կարողացան ցույց տալ արտոնությունների լոկալ մեծացում՝ օգտվելով նախկինում անհայտ խոցելիություններից, որոնք կապված են բուֆերային արտահոսքի և կրկնակի ազատ հիշողության հետ (խնդիրի բաղադրիչները դեռ չեն հաղորդվել. մշակողներին 90 օր է տրված ուղղելու համար։ սխալներ՝ նախքան տվյալների բացահայտումը): Այս խոցելիության համար վճարվել է $30 բոնուս:
Տեղական արտոնությունների չարաշահման կատեգորիայի մեկ այլ թիմի կողմից կատարված երրորդ փորձը միայն մասամբ հաջողվեց. շահագործումն աշխատեց և հնարավոր եղավ ստանալ արմատային հասանելիություն, բայց հարձակումն ամբողջությամբ չգրանցվեց, քանի որ խոցելիության հետ կապված սխալն արդեն հայտնի էր: Ubuntu-ի ծրագրավորողներին և շտկումով թարմացումը պատրաստման փուլում էր:
Հաջող հարձակում է ցուցադրվել նաև Chromium շարժիչի վրա հիմնված բրաուզերների համար՝ Google Chrome և Microsoft Edge: Exploit ստեղծելու համար, որը թույլ է տալիս կատարել ձեր կոդը՝ Chrome-ում և Edge-ում հատուկ նախագծված էջ բացելիս (մեկ ունիվերսալ շահագործում ստեղծվել է երկու բրաուզերի համար), վճարվել է 100 հազար դոլար մրցանակ։ Ֆիքսումը նախատեսվում է հրապարակել առաջիկա ժամերին, առայժմ հայտնի է միայն, որ խոցելիությունը առկա է վեբ բովանդակության մշակման համար պատասխանատու գործընթացում (արտադրող):
Այլ հաջող հարձակումներ.
- 200 հազար դոլար՝ Zoom հավելվածը կոտրելու համար (հասցրել է կատարել իր կոդը՝ հաղորդագրություն ուղարկելով մեկ այլ օգտատիրոջ՝ առանց ստացողի կողմից որևէ գործողության անհրաժեշտության)։ Հարձակման ժամանակ օգտագործվել է երեք խոցելիություն Zoom-ում և մեկը՝ Windows օպերացիոն համակարգում:
- 200 հազար դոլար Microsoft Exchange-ը կոտրելու համար (շրջանցելով նույնականացումը և ադմինիստրատորի իրավունքներ ձեռք բերելու համար սերվերի վրա տեղական արտոնությունները մեծացնելը): Մեկ այլ հաջողված շահագործում ցուցադրվեց մեկ այլ թիմի, սակայն երկրորդ մրցանակը չվճարվեց, քանի որ նույն սխալներն արդեն օգտագործվել էին առաջին թիմի կողմից:
- 200 հազար դոլար Microsoft Teams-ը կոտրելու համար (սերվերի վրա կոդի կատարում).
- 100 հազար դոլար՝ Apple Safari-ի շահագործման համար (ամբողջ թվերի գերհոսք Safari-ում և բուֆերային արտահոսք macOS միջուկում՝ Sandbox-ը շրջանցելու և միջուկի մակարդակում կոդը գործարկելու համար):
- $140 հազար՝ Parallels Desktop-ը կոտրելու համար (վիրտուալ մեքենայից դուրս գալը և հիմնական համակարգում կոդի գործարկումը)։ Հարձակումն իրականացվել է երեք տարբեր խոցելիության շահագործման միջոցով՝ չնախնականացված հիշողության արտահոսք, կույտերի արտահոսք և ամբողջ թվերի արտահոսք:
- Երկու պարգև՝ 40 հազար դոլար յուրաքանչյուրը Parallels Desktop-ը կոտրելու համար (տրամաբանական սխալ և բուֆերային արտահոսք, որը թույլ է տվել ծածկագիրը կատարել արտաքին ՕՀ-ում՝ վիրտուալ մեքենայի ներսում գործողությունների միջոցով):
- Երեք պարգև՝ 40 հազար դոլար՝ Windows 10-ի երեք հաջող շահագործման համար (ամբողջ թվերի արտահոսք, մուտք դեպի արդեն ազատված հիշողություն և մրցավազքի վիճակ, որը թույլ է տվել SYSTEM-ի արտոնություններ ստանալ):
Oracle VirtualBox-ը կոտրելու փորձեր արվեցին, բայց անհաջող: Firefox, VMware ESXi, Hyper-V հաճախորդ, MS Office 365, MS SharePoint, MS RDP և Adobe Reader կոտրելու համար առաջադրումները մնացել են չպահանջված: Չկար նաև ոչ ոք, ով ցանկանում էր ցույց տալ Tesla մեքենայի տեղեկատվական համակարգը կոտրելը, չնայած 600 հազար դոլար մրցանակին գումարած Tesla Model 3 մեքենան։
Source: opennet.ru