encamên du rojan pêşbaziyên Pwn2Own 2020, ku her sal wekî beşek ji konferansa CanSecWest pêk tê. Îsal pêşbirk bi awayekî virtual hat lidarxistin û êrîş li ser înternetê hatin nîşandan. Pêşbaziyê teknîkên xebatê ji bo îstismarkirina qelsiyên berê nenas li Ubuntu Desktop (kernel Linux), Windows, macOS, Safari, VirtualBox û Adobe Reader pêşkêş kir. Tevahiya dravê 270 hezar dolar bû (tevahiya fona xelatê zêdetirî 4 milyon dolarê Amerîkî).
- Zêdebûna herêmî ya îmtiyazan di Sermaseya Ubuntu de bi karanîna xisarek di kernel Linux-ê de ku bi verastkirina çewt a nirxên têketinê ve girêdayî ye (xelat $30);
- Xwepêşandana derketina ji hawîrdora mêvan li VirtualBox û pêkanîna kodê bi mafên hîpervisor, îstismarkirina du qelsiyan - şiyana xwendina daneyan ji deverek li derveyî tampona veqetandî û xeletiyek dema ku bi guhêrbarên nenaskirî re dixebitin (xelatek 40 hezar dolar). Li derveyî pêşbaziyê, nûnerên Înîsiyatîfa Zero Day di heman demê de hackek din a VirtualBox jî destnîşan kirin, ku destûrê dide gihandina pergala mêvandar bi manîpulasyonên li hawîrdora mêvanan;
- Hackkirina Safari bi îmtiyazên bilind di asta kernel macOS-ê de û xebitandina hesabkerê wekî root. Ji bo îstîsmarê zincîreyek ji 6 xeletiyan hatiye bikaranîn (xelat 70 hezar dolar);
- Du xwenîşandanên zêdekirina îmtiyazên herêmî di Windows-ê de bi karanîna lawaziyên ku dibin sedema gihîştina qada bîranînê ya jixwe azadkirî (du xelatên her yekê 40 hezar dolar);
- Dema ku di Adobe Reader de pelgeyek PDF-ya taybetî hatî sêwirandin vekirina Windows-ê gihîştina rêveberê bi dest dixe. Di êrîşê de qelsiyên di Acrobat û kernel Windows-ê de têkildar in ku bi gihîştina deverên bîranînê yên ku berê hatine azad kirin (xelata 50 $).
Namzetên ji bo hackkirina Chrome, Firefox, Edge, Microsoft Hyper-V Client, Microsoft Office û Microsoft Windows RDP nehatine daxwaz kirin. Hewldanek hate kirin ku VMware Workstation hack bike, lê ew bi ser neket.
Mîna sala borî, kategoriyên xelatê hackên piraniya projeyên çavkaniya vekirî (nginx, OpenSSL, Apache httpd) negirtin.
Ji hev veqetandî, em dikarin mijara hakkirina pergalên agahdariya gerîdeyek Tesla destnîşan bikin. Di pêşbirkê de, tevî xelata herî zêde ya 700 hezar dolarî, hewildanek ji bo hackkirina Tesla tune bû, lê ji hev cuda. di derbarê naskirina xirapbûnek DoS (CVE-2020-10558) di Tesla Model 3 de, ku destûrê dide dema vekirina rûpelek taybetî ya sêwirandî di geroka çêkirî de, agahdariya ji otopîlotê neçalak bike û xebata pêkhateyên mîna speedometre, gerok, klîma, pergala navîgasyonê, hwd.
Source: opennet.ru