Резултатите од трите дена од натпреварот Pwn2Own 2021, кој се одржува секоја година како дел од конференцијата CanSecWest, се сумирани. Како и минатата година, натпреварот се одржа виртуелно, а нападите беа демонстрирани на интернет. Од 23-те целни цели, беа демонстрирани работни техники за искористување на претходно непознати пропусти за Ubuntu Desktop, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams и Zoom. Во сите случаи, беа тестирани најновите верзии на програмите, вклучувајќи ги и сите достапни ажурирања. Вкупниот износ на уплатите изнесуваше милион и двесте илјади американски долари (вкупниот награден фонд беше еден и пол милион долари).
На натпреварот беа направени три обиди да се искористат пропустите во Ubuntu Desktop. Првиот и вториот обид беа валидни и напаѓачите можеа да покажат локална ескалација на привилегиите со искористување на претходно непознати пропусти поврзани со прелевање на баферот и двојно слободна меморија (кои компоненти на проблемот сè уште не се пријавени; на програмерите им се дадени 90 дена да ги поправат грешки пред откривање податоци). За овие пропусти беа платени бонуси од 30 долари.
Третиот обид, направен од друг тим во категоријата локална злоупотреба на привилегии, беше само делумно успешен - експлоатот работеше и овозможи да се добие пристап до root, но нападот не беше целосно заслужен, бидејќи грешката поврзана со ранливоста беше веќе позната до програмерите на Ubuntu и во процес на подготовка беше ажурирање со поправка.
Успешен напад беше демонстриран и за прелистувачите базирани на моторот Chromium - Google Chrome и Microsoft Edge. За креирање на експлоат кој ви овозможува да го извршите вашиот код при отворање на специјално дизајнирана страница во Chrome и Edge (еден универзален експлоат е создаден за два прелистувачи), беше платена награда од 100 илјади долари. Поправката се планира да биде објавена во наредните часови, засега се знае само дека ранливоста е присутна во процесот одговорен за обработка на веб-содржини (рендерер).
Други успешни напади:
- 200 илјади долари за хакирање на апликацијата Zoom (успеа да го изврши својот код со испраќање порака до друг корисник, без потреба од никакво дејство од страна на примачот). Нападот користеше три пропусти во Zoom и една во оперативниот систем Windows.
- 200 илјади долари за хакирање на Microsoft Exchange (заобиколување на автентикацијата и локално зголемување на привилегиите на серверот за стекнување администраторски права). Уште еден успешно деловен подвиг беше демонстриран на друг тим, но втората награда не беше платена, бидејќи истите грешки веќе беа искористени од првиот тим.
- 200 илјади долари за хакирање на Microsoft Teams (извршување код на серверот).
- 100 илјади долари за искористување на Apple Safari (прелевање на цел број во Safari и прелевање на баферот во кернелот macOS за да се заобиколи песокот и да се изврши код на ниво на јадрото).
- 140 илјади долари за хакирање на Parallels Desktop (излегување од виртуелната машина и извршување на код на главниот систем). Нападот беше извршен преку искористување на три различни пропусти - неиницијализирано истекување на меморија, прелевање на стек и прелевање на цели броеви.
- Две награди од по 40 илјади долари за хакирање на Parallels Desktop (логичка грешка и прелевање на баферот што овозможи кодот да се изврши во надворешен оперативен систем преку дејства во виртуелна машина).
- Три награди од 40 илјади долари за три успешни експлоатирања на Windows 10 (прелевање на цел број, пристап до веќе ослободена меморија и состојба на трка што овозможи добивање на привилегии на СИСТЕМ).
Беа направени обиди, но беа неуспешни, да се хакира Oracle VirtualBox. Номинациите за хакирање на Firefox, VMware ESXi, Hyper-V клиентот, MS Office 365, MS SharePoint, MS RDP и Adobe Reader останаа неподигнати. Немаше ниту еден кој сакаше да демонстрира хакирање на информацискиот систем на автомобил Тесла и покрај наградата од 600 илјади долари плус автомобил Тесла модел 3.
Извор: opennet.ru