Pwn2Own 2021 대회에서 Ubuntu, Chrome, Safari, Parallels 및 Microsoft 제품이 해킹당했습니다.

CanSecWest 컨퍼런스의 일환으로 매년 개최되는 Pwn2Own 2021 대회의 23일간의 결과가 요약되었습니다. 지난해와 마찬가지로 대회는 가상으로 진행됐고 공격은 온라인으로 시연됐다. 10개의 표적 대상 중에서 Ubuntu Desktop, Windows XNUMX, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams 및 Zoom에 대해 이전에 알려지지 않은 취약점을 악용하는 작업 기술이 시연되었습니다. 모든 경우에 사용 가능한 모든 업데이트를 포함하여 최신 버전의 프로그램이 테스트되었습니다. 총 지불 금액은 XNUMX만 달러(총 상금은 XNUMX만 달러)였습니다.

대회에서는 Ubuntu Desktop의 취약점을 악용하려는 시도가 세 번 있었습니다. 첫 번째와 두 번째 시도는 유효했으며 공격자는 버퍼 오버플로 및 이중 여유 메모리와 관련하여 이전에 알려지지 않은 취약점을 악용하여 로컬 권한 상승을 시연할 수 있었습니다(문제의 구성 요소는 아직 보고되지 않았습니다. 개발자에게 수정하는 데 90일이 주어졌습니다) 데이터 공개 전 오류). 이러한 취약점에 대해 $30의 보너스가 지급되었습니다.

로컬 권한 남용 범주의 다른 팀이 수행한 세 번째 시도는 부분적으로만 성공했습니다. 익스플로잇이 작동하여 루트 액세스 권한을 얻을 수 있게 되었지만 취약점과 관련된 오류가 이미 알려져 있었기 때문에 공격이 완전히 인정되지 않았습니다. Ubuntu 개발자에게 전달했으며 수정 사항이 포함된 업데이트를 준비하는 중이었습니다.

Chromium 엔진 기반 브라우저(Google Chrome 및 Microsoft Edge)에서도 성공적인 공격이 입증되었습니다. Chrome 및 Edge에서 특별히 설계된 페이지를 열 때 코드를 실행할 수 있는 익스플로잇을 생성한 경우(두 개의 브라우저에 대해 하나의 범용 익스플로잇이 생성됨) 100만 달러의 상금이 지급되었습니다. 수정 사항은 앞으로 몇 시간 내에 게시될 예정이며, 지금까지 알려진 것은 웹 콘텐츠 처리를 담당하는 프로세스(렌더러)에 취약점이 존재한다는 것뿐입니다.

기타 성공적인 공격:

• Zoom 애플리케이션 해킹에 200만 달러(수신자의 조치 없이 다른 사용자에게 메시지를 보내 자신의 코드를 실행하도록 관리함). 이 공격은 Zoom의 취약점 XNUMX개와 Windows 운영 체제의 취약점 XNUMX개를 사용했습니다.
• Microsoft Exchange 해킹(인증을 우회하고 관리자 권한을 얻기 위해 서버에서 로컬로 권한 상승)에 200만 달러. 성공적으로 작동하는 또 다른 익스플로잇이 다른 팀에 시연되었지만 첫 번째 팀이 이미 동일한 오류를 사용했기 때문에 두 번째 상금은 지급되지 않았습니다.
• Microsoft Teams 해킹(서버에서 코드 실행)에 200만 달러.
• Apple Safari를 악용하는 데 100만 달러(샌드박스를 우회하고 커널 수준에서 코드를 실행하기 위한 Safari의 정수 오버플로 및 macOS 커널의 버퍼 오버플로).
• Parallels Desktop 해킹(가상 머신 종료 및 메인 시스템에서 코드 실행)에 140만 달러. 공격은 초기화되지 않은 메모리 누수, 스택 오버플로, 정수 오버플로 등 세 가지 다른 취약점을 악용하여 수행되었습니다.
• Parallels Desktop을 해킹한 경우 각각 40만 달러의 상금 XNUMX개(가상 머신 내부 작업을 통해 외부 OS에서 코드를 실행할 수 있게 하는 논리적 오류 및 버퍼 오버플로).
• Windows 40의 세 가지 성공적인 익스플로잇(정수 오버플로, 이미 해제된 메모리에 대한 액세스 및 시스템 권한 획득을 허용하는 경쟁 조건)에 대해 세 가지 상금 10달러를 받았습니다.

Oracle VirtualBox를 해킹하려는 시도가 있었지만 실패했습니다. Firefox, VMware ESXi, Hyper-V 클라이언트, MS Office 365, MS SharePoint, MS RDP 및 Adobe Reader 해킹에 대한 후보는 아직 청구되지 않았습니다. 또한 상금 600만 달러에 Tesla Model 3 자동차를 추가했음에도 불구하고 Tesla 자동차의 정보 시스템 해킹을 시연하려는 사람도 없었습니다.

출처 : opennet.ru