תוצאות תחרות Pwn2Own Ireland 2026, שנמשכת שלושה ימים, פורסמו. 42 התקפות מוצלחות הודגמו באמצעות פגיעויות יום אפס שלא היו ידועות קודם לכן בסמארטפונים, מכשירי בית חכם, מדפסות וכלי בינה מלאכותית. ההתקפות ניצלו את הקושחה ומערכות ההפעלה העדכניות ביותר עם כל העדכונים ותצורות ברירת המחדל הזמינים. סכום הפרסים הסתכם ב-1.33 מיליון דולר.
התקפות ביצעו:
- סמארטפון סמסונג גלקסי S26: 6 פריצות מוצלחות. פרסים ששולמו: 31250 דולר, 15750 דולר, 11000 דולר, 8500 דולר ו-6250 דולר.
- סמארטפון גוגל פיקסל 10: פריצה מוצלחת אחת. פרס של 150,000 דולר שולם.
- מכשיר אוטומציה ביתי ירוק של Home Assistant: 6 פריצות מוצלחות. פרסים ששולמו: 30000 דולר, 12000 דולר, 7500 דולר, 7000 דולר, 4750 דולר ו-4500 דולר.
- תאורת Philips Hue Bridge Pro החכמה: 4 טריקים מוצלחים. פרסים ששולמו: 40000 דולר, 12000 דולר, 6000 דולר ו-5000 דולר.
- מד לחץ דם Garmin Index BPM: שתי פריצות מוצלחות המנצלות פגיעויות של overflow. שולמו פרסים בסך 20000 דולר ו-6750 דולר.
- רמקולים חכמים Sonos Era 300: 5 פריצות מוצלחות המנצלות פגיעויות של גלישת מאגר ועיצוב מחרוזות. פרסים בסך 50000 דולר, 17500 דולר, 12500 דולר, 10500 דולר ו-9500 דולר חולקו.
- מדפסת Lexmark CX532adw: 5 פריצות מוצלחות המנצלות פגיעויות של שימוש בזיכרון לאחר שחרור. פרסים שהוענקו: 20000 דולר, 10000 דולר, 5000 דולר, 5000 דולר ו-4250 דולר.
- מדפסת Canon imageFORCE 1643F: פריצה מוצלחת אחת באמצעות פגיעויות הקשורות לחוסר אימות תקין, החלפת פקודות ופרטי קושחה מוגדרים מראש. פרס של 10000 דולר שולם.
- מדפסת Brother MFC-L8970CDW: פריצה מוצלחת אחת. פרס שולם.
20000 $. - שער LiteLLM לבינה מלאכותית: 2 פריצות מוצלחות המנצלות פגיעויות הקשורות לאימות קלט לא תקין והחלפת קוד. שולמו 40000 דולר ו-15000 דולר.
- מסד נתונים אוטונומי של בינה מלאכותית של Oracle: 5 פרצות מוצלחות של שימוש לאחר חינמיות ובלבול סוגים. פרסים שהוענקו: 40000 דולר, 14000 דולר, 10000 דולר, 6250 דולר ו-6000 דולר.
- סוכן בינה מלאכותית של OpenAI Codex: פריצה מוצלחת אחת באמצעות פגיעויות להחלפת ארגומנטים. 40000 דולר שולמו.
- פלטפורמת הבינה המלאכותית של דינמו: פריצה מוצלחת אחת באמצעות פגיעות של גלישת מאגר. 40000 דולר שולמו.
- DBMS של וקטור כרומה: 2 פריצות מוצלחות. 12000 דולר ו-4500 דולר בתשלום.
בנוסף להתקפות המוצלחות שצוינו לעיל, תשעה ניסיונות לנצל את הפגיעויות נכשלו, בכל המקרים משום שהצוותים לא הצליחו להשלים את ההתקפה בתוך מגבלת הזמן.
ניסיונות לפרוץ למדפסות Brother MFC-L8970CDW לא צלחו.
Lexmark CX532adwe, מד לחץ דם Garmin Index BPM, סמארטפון Google Pixel 10, מסד נתונים Chroma ומערכת אוטומציה ביתית Home Assistant Green.
המרכיבים הספציפיים של הבעיה טרם דווחו. בהתאם לתנאי התחרות, מידע מפורט על כל נקודות התורפה של 0-יום שהוכחו יפורסם רק לאחר 90 יום, שיינתן ליצרנים להכנת עדכונים המבטלים נקודות תורפה.
מקור: OpenNet.ru
