Sono stati riassunti i risultati di quattro giorni del concorso Pwn2Own Toronto 2023, in cui sono state dimostrate 58 vulnerabilità precedentemente sconosciute (0-day) in dispositivi mobili, stampanti, altoparlanti intelligenti, sistemi di archiviazione e router. Gli attacchi hanno utilizzato il firmware e i sistemi operativi più recenti con tutti gli aggiornamenti disponibili e nella configurazione predefinita.
L'importo totale della retribuzione pagata ha superato 1 milione di dollari USA (1038500 dollari). La squadra di maggior successo, il Team Viettel, è riuscita a guadagnare 180mila dollari dalla competizione. I vincitori del secondo posto (Team Orca) hanno ricevuto 116.250 mila dollari, mentre i vincitori del terzo posto (DEVCORE) hanno ricevuto 50 mila dollari.
Durante la competizione sono stati dimostrati attacchi che hanno portato all'esecuzione di codice remoto sui dispositivi:
- Router Gigabit TP-Link Omada ($ 100000 e $ 31250 per l'hacking con la stampante Lexmark CX331adwe; $ 50000 per l'hacking con l'archiviazione di rete QNAP TS-464; $ 40750 per l'hacking con la fotocamera Synology BC500; $ 50000 e $ 31250 per l'hacking con la stampante Canon imageCLASS MF753Cdw).
- Router Synology RT6600ax ($ 50000 per l'hacking insieme allo spazio di archiviazione di rete QNAP TS-464).
- Smartphone Samsung Galaxy S23 (50000 dollari e tre bonus da 25000 dollari per l'hacking che utilizza vulnerabilità causate da una verifica insufficiente dei dati esterni; 6250 dollari per l'utilizzo di un exploit già noto).
- Smartphone Xiaomi 13 Pro ($ 40000 e $ 20000).
- Telecamera CCTV Synology BC500 (premio di $ 30000 per l'hacking tramite una vulnerabilità di buffer overflow; $ 15000 per un exploit che coinvolge tre vulnerabilità; cinque premi di $ 3750 ciascuno per l'utilizzo di un exploit già noto).
- Telecamera di sicurezza Wyze Cam v3 ($ 30000 per un exploit di sostituzione di comando; $ 15000 per un exploit di buffer overflow; $ 15000 per un exploit che coinvolge due vulnerabilità; $ 15000 per un exploit di buffer overflow in un driver wireless nel kernel; $ 3750 per l'utilizzo di un exploit già noto).
- Archiviazione di rete WD My Cloud Pro PR4100 ($ 40000 per exploit che coinvolge due vulnerabilità).
- Archiviazione di rete QNAP TS-464 ($40000 per un exploit che coinvolge tre vulnerabilità; $20000 per un exploit che coinvolge due vulnerabilità; $20000 per un exploit che coinvolge vulnerabilità che implicano l'attraversamento della directory di base e la sostituzione dei comandi; $12500 e $5000 per l'utilizzo di un exploit già noto).
- Stampante Canon imageCLASS MF753Cdw ($ 20000 e tre bonus da $ 10000 per l'hacking attraverso le vulnerabilità del buffer overflow; $ 2500 e $ 2500 per l'utilizzo di un exploit già noto).
- Stampante Lexmark CX331adwe ($ 20000 per exploit di danneggiamento della memoria; $ 10000 per exploit di buffer overflow).
- Stampante HP Color LaserJet Pro MFP 4301fdw ($ 20000 per hacking tramite vulnerabilità di overflow del buffer).
- Altoparlante wireless Sonos Era 100 ($ 60000 per un exploit che sfrutta due vulnerabilità che portano alla lettura dalla memoria del buffer e all'accesso alla memoria dopo che è stata liberata; $ 30000 e $ 18750 per l'hacking attraverso una vulnerabilità causata da un buffer overflow).
Oltre agli attacchi riusciti sopra menzionati, 7 tentativi di sfruttare le vulnerabilità si sono conclusi con un fallimento (tre tentativi di hackeraggio della stampante Canon imageCLASS MF753Cdw, due tentativi - Lexmark CX331adwe e due tentativi - Xiamoi 13 Pro).
Le componenti specifiche del problema non sono state ancora segnalate. Secondo i termini del concorso, solo dopo 0 giorni verranno pubblicate informazioni dettagliate su tutte le vulnerabilità 90-day dimostrate, che vengono fornite ai produttori per preparare aggiornamenti che eliminino le vulnerabilità.
Fonte: opennet.ru