ការ Hack របស់ Ubuntu, Windows, macOS និង VirtualBox ត្រូវបានបង្ហាញនៅឯការប្រកួត Pwn2Own 2020

ទុកឱ្យចុះ លទ្ធផលនៃការប្រកួតរយៈពេលពីរថ្ងៃ Pwn2Own 2020 ដែលធ្វើឡើងជារៀងរាល់ឆ្នាំជាផ្នែកនៃសន្និសីទ CanSecWest ។ ឆ្នាំនេះ ការប្រកួតប្រជែងត្រូវបានប្រារព្ធឡើងស្ទើរតែ ហើយការវាយប្រហារត្រូវបានបង្ហាញតាមអ៊ីនធឺណិត។ ការប្រកួតប្រជែងបានបង្ហាញពីបច្ចេកទេសការងារសម្រាប់ការទាញយកភាពងាយរងគ្រោះដែលមិនស្គាល់ពីមុននៅក្នុង Ubuntu Desktop (Linux kernel), Windows, macOS, Safari, VirtualBox និង Adobe Reader ។ ចំនួនទឹកប្រាក់សរុបនៃការទូទាត់គឺ 270 ពាន់ដុល្លារ (មូលនិធិរង្វាន់សរុប គឺ ជាង ៤ លានដុល្លារ) ។

• ការកើនឡើងនៃសិទ្ធិក្នុងតំបន់នៅក្នុង Ubuntu Desktop ដោយទាញយកភាពងាយរងគ្រោះនៅក្នុងខឺណែលលីនុចដែលទាក់ទងនឹងការផ្ទៀងផ្ទាត់មិនត្រឹមត្រូវនៃតម្លៃបញ្ចូល (រង្វាន់ $30);
• ការបង្ហាញពីការចាកចេញពីបរិយាកាសភ្ញៀវនៅក្នុង VirtualBox និងដំណើរការកូដជាមួយសិទ្ធិអ្នកមើលខ្ពស់ ដោយទាញយកភាពងាយរងគ្រោះចំនួនពីរ - សមត្ថភាពក្នុងការអានទិន្នន័យពីតំបន់មួយនៅខាងក្រៅសតិបណ្ដោះអាសន្នដែលបានបែងចែក និងកំហុសនៅពេលធ្វើការជាមួយអថេរដែលមិនដំណើរការ (រង្វាន់ 40 ពាន់ដុល្លារ)។ នៅខាងក្រៅការប្រកួតប្រជែង អ្នកតំណាងនៃ Zero Day Initiative ក៏បានបង្ហាញពីការលួចចូល VirtualBox មួយផ្សេងទៀត ដែលអនុញ្ញាតឱ្យចូលប្រើប្រព័ន្ធម៉ាស៊ីនតាមរយៈការរៀបចំនៅក្នុងបរិយាកាសភ្ញៀវ។
  
  
  

• ការលួចចូល Safari ជាមួយនឹងសិទ្ធិកើនឡើងដល់កម្រិតខឺណែល macOS និងដំណើរការម៉ាស៊ីនគិតលេខជា root ។ សម្រាប់ការកេងប្រវ័ញ្ចខ្សែសង្វាក់នៃ 6 កំហុសត្រូវបានប្រើ (រង្វាន់ 70 ពាន់ដុល្លារ);
• ការបង្ហាញចំនួនពីរនៃការកើនឡើងសិទ្ធិក្នុងតំបន់នៅក្នុង Windows តាមរយៈការកេងប្រវ័ញ្ចនៃភាពងាយរងគ្រោះដែលនាំទៅដល់ការចូលទៅកាន់តំបន់អង្គចងចាំដែលបានដោះលែងរួចហើយ (រង្វាន់ពីរនៃ 40 ពាន់ដុល្លារក្នុងមួយ);
• ការទទួលបានសិទ្ធិចូលដំណើរការអ្នកគ្រប់គ្រងនៅក្នុង Windows នៅពេលបើកឯកសារ PDF ដែលបានរចនាយ៉ាងពិសេសនៅក្នុង Adobe Reader ។ ការវាយប្រហារនេះពាក់ព័ន្ធនឹងភាពងាយរងគ្រោះនៅក្នុង Acrobat និងខឺណែល Windows ទាក់ទងនឹងការចូលទៅកាន់តំបន់អង្គចងចាំដែលបានដោះលែងរួចហើយ (រង្វាន់ $50) ។

ការតែងតាំងសម្រាប់ការលួចចូល Chrome, Firefox, Edge, Microsoft Hyper-V Client, Microsoft Office និង Microsoft Windows RDP នៅតែមិនត្រូវបានទាមទារ។ ការប៉ុនប៉ងមួយត្រូវបានធ្វើឡើងដើម្បី hack VMware Workstation ប៉ុន្តែវាមិនបានជោគជ័យទេ។
ដូចឆ្នាំមុនដែរ ប្រភេទរង្វាន់មិនរួមបញ្ចូលការលួចចូលនៃគម្រោងប្រភពបើកចំហភាគច្រើន (nginx, OpenSSL, Apache httpd) ទេ។

ដោយឡែកពីគ្នា យើងអាចកត់សម្គាល់ប្រធានបទនៃការលួចចូលប្រព័ន្ធព័ត៌មានរបស់រថយន្ត Tesla ។ មិនមានការប៉ុនប៉ងដើម្បី hack ក្រុមហ៊ុន Tesla នៅក្នុងការប្រកួតនោះទេបើទោះបីជារង្វាន់អតិបរមាចំនួន $ 700 ប៉ុន្តែដោយឡែកពីគ្នា។ ព័ត៌មានបានលេចចេញមក អំពីការកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះរបស់ DoS (CVE-2020-10558) នៅក្នុង Tesla Model 3 ដែលអនុញ្ញាតឱ្យនៅពេលបើកទំព័រដែលបានរចនាយ៉ាងពិសេសនៅក្នុងកម្មវិធីរុករកតាមអ៊ីនធឺណិត ដើម្បីបិទការជូនដំណឹងពី autopilot និងរំខានដល់ប្រតិបត្តិការនៃសមាសធាតុដូចជា ឧបករណ៍វាស់ល្បឿន កម្មវិធីរុករកតាមអ៊ីនធឺណិត ម៉ាស៊ីនត្រជាក់ ប្រព័ន្ធរុករក។ល។

ប្រភព: opennet.ru