Ubuntu, Windows, macOS 및 VirtualBox의 해킹이 Pwn2Own 2020 대회에서 시연되었습니다.

실망시키다 CanSecWest 컨퍼런스의 일환으로 매년 개최되는 Pwn2Own 2020 이틀 간의 대회 결과입니다. 올해 대회는 가상으로 진행되었으며 공격은 온라인으로 시연되었습니다. 대회에서는 Ubuntu Desktop(Linux 커널), Windows, macOS, Safari, VirtualBox 및 Adobe Reader에서 이전에 알려지지 않은 취약점을 악용하기 위한 작업 기술을 선보였습니다. 총 지급금액은 270만 달러(총상금) 구성 미화 4백만 달러 이상).

• 입력 값의 잘못된 확인과 관련된 Linux 커널의 취약점을 악용하여 Ubuntu Desktop에서 로컬 권한 상승(상금 $30)
• VirtualBox에서 게스트 환경을 종료하고 하이퍼바이저 권한으로 코드를 실행하는 방법을 시연하며 할당된 버퍼 외부 영역에서 데이터를 읽는 기능과 초기화되지 않은 변수로 작업할 때 발생하는 오류(상금 40달러)라는 두 가지 취약점을 악용합니다. 대회 외에도 Zero Day Initiative의 대표자들은 게스트 환경의 조작을 통해 호스트 시스템에 액세스할 수 있는 또 다른 VirtualBox 해킹을 시연했습니다.
  
  
  

• macOS 커널 수준에 대한 높은 권한으로 Safari를 해킹하고 계산기를 루트로 실행합니다. 악용을 위해 6개의 오류 체인이 사용되었습니다(상금 70만 달러).
• 이미 해제된 메모리 영역에 액세스하도록 하는 취약점을 악용하여 Windows에서 로컬 권한 상승을 보여주는 두 가지 시연(각각 40달러의 상금 XNUMX개)
• Adobe Reader에서 특별히 디자인된 PDF 문서를 열 때 Windows에서 관리자 액세스 권한을 얻습니다. 이 공격에는 이미 해제된 메모리 영역(상금 $50) 액세스와 관련된 Acrobat 및 Windows 커널의 취약점이 포함됩니다.

Chrome, Firefox, Edge, Microsoft Hyper-V Client, Microsoft Office 및 Microsoft Windows RDP 해킹에 대한 후보는 아직 청구되지 않았습니다. VMware Workstation을 해킹하려고 시도했지만 실패했습니다.
작년과 마찬가지로 상금 카테고리에는 대부분의 오픈 소스 프로젝트(nginx, OpenSSL, Apache httpd)의 해킹이 포함되지 않았습니다.

이와 별도로 Tesla 자동차의 정보 시스템 해킹 주제에 주목할 수 있습니다. 최대 상금이 700만 달러임에도 불구하고 대회에서 Tesla를 해킹하려는 시도는 없었습니다. 정보가 나타났다. 내장 브라우저에서 특별히 설계된 페이지를 열 때 자동 조종 장치의 알림을 비활성화하고 다음과 같은 구성 요소의 작동을 방해할 수 있는 Tesla Model 2020의 DoS 취약점(CVE-10558-3) 식별에 대해 설명합니다. 속도계, 브라우저, 에어컨, 내비게이션 시스템 등

출처 : opennet.ru