Pwn2Own 2022 대회에서 시연된 5가지 Ubuntu 해킹

CanSecWest 컨퍼런스의 일환으로 매년 개최되는 Pwn2Own 2022 대회의 11일간 결과가 요약되었습니다. Ubuntu Desktop, Virtualbox, Safari, Windows 25, Microsoft Teams 및 Firefox에서 이전에 알려지지 않은 취약점을 악용하는 작업 기술이 시연되었습니다. 총 1,155,000번의 성공적인 공격이 시연됐고, XNUMX번의 시도는 실패로 끝났다. 공격에는 사용 가능한 모든 업데이트와 기본 구성이 포함된 최신 안정 릴리스의 애플리케이션, 브라우저 및 운영 체제가 사용되었습니다. 지급된 보수총액은 USD XNUMX 입니다.

이 대회에서는 서로 다른 참가자 팀이 수행한 Ubuntu Desktop의 이전에 알려지지 않은 취약점을 악용하려는 40가지 성공적인 시도가 시연되었습니다. 두 가지 버퍼 오버플로와 이중 자유 문제를 활용하여 Ubuntu Desktop에서 로컬 권한 상승을 시연한 데 대해 $40의 상금이 지급되었습니다. Use-After-Free 취약점을 활용하여 권한 상승을 시연한 공로로 각각 $XNUMX 상당의 XNUMX개 상이 수여되었습니다.

문제의 정확한 구성 요소는 아직 보고되지 않았습니다. 대회 조건에 따라 입증된 모든 제로데이 취약점에 대한 자세한 정보는 0일 후에만 게시될 예정이며, 이 정보는 제조업체에 제공되어 문제를 제거하는 업데이트를 준비합니다. 취약점.

기타 성공적인 공격:

• 특별히 설계된 페이지를 열 때 샌드박스 격리를 우회하고 시스템에서 코드를 실행할 수 있는 Firefox용 익스플로잇 개발에 100만 달러.
• Oracle Virtualbox의 버퍼 오버플로를 사용하여 게스트에서 로그아웃하는 악용을 시연하기 위해 40달러.
• Apple Safari 운영 비용으로 50만 달러(버퍼 오버플로).
• Microsoft Teams 해킹에 450달러(각 팀은 각각 150의 보상으로 XNUMX번의 해킹을 시연했습니다).
• Microsoft Windows 80에서 버퍼 오버플로를 악용하고 권한을 상승시킨 데 대해 40만 달러(각각 11만 달러씩 XNUMX개 보상).
• Microsoft Windows 80에서 권한을 높이기 위해 액세스 확인 코드의 버그를 악용한 대가로 40만 달러(각각 11만 달러씩 XNUMX개 보상)
• Microsoft Windows 40에서 권한 상승을 위해 정수 오버플로를 악용하여 11달러.
• Microsoft Windows 40의 Use-After-Free 취약점을 악용한 대가로 11만 달러.
• Telsa Model 75의 인포테인먼트 시스템에 대한 공격 시연에 3달러가 소요되었습니다. 이 익스플로잇은 이전에 알려진 샌드박스 격리 우회 기술과 함께 버퍼 오버플로 및 이중 해제로 이어지는 버그를 사용했습니다.

Microsoft Windows 11(6개 해킹 성공 및 1개 실패), Tesla(1개 해킹 성공 및 1개 실패) 및 Microsoft Teams(3개 해킹 성공 및 1개 실패)를 해킹하려는 별도의 시도가 있었지만 성공하지 못했습니다. 올해 Google Chrome의 익스플로잇을 시연해 달라는 요청은 없었습니다.

출처 : opennet.ru