ടൊറന്റോയിൽ നടന്ന Pwn2Own മത്സരത്തിൽ 58 പുതിയ കേടുപാടുകൾക്കുള്ള ചൂഷണങ്ങൾ പ്രദർശിപ്പിച്ചു

Pwn2Own Toronto 2023 മത്സരത്തിന്റെ നാല് ദിവസത്തെ ഫലങ്ങൾ സംഗ്രഹിച്ചിരിക്കുന്നു, അതിൽ മൊബൈൽ ഉപകരണങ്ങൾ, പ്രിന്ററുകൾ, സ്മാർട്ട് സ്പീക്കറുകൾ, സ്റ്റോറേജ് സിസ്റ്റങ്ങൾ, റൂട്ടറുകൾ എന്നിവയിൽ മുമ്പ് അറിയപ്പെടാത്ത 58 കേടുപാടുകൾ (0-ദിവസം) പ്രദർശിപ്പിച്ചു. ആക്രമണങ്ങൾ ഏറ്റവും പുതിയ ഫേംവെയറും ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളും ലഭ്യമായ എല്ലാ അപ്‌ഡേറ്റുകളും സ്ഥിരസ്ഥിതി കോൺഫിഗറേഷനും ഉപയോഗിച്ചു.

നൽകിയ പ്രതിഫലത്തിന്റെ ആകെ തുക 1 ദശലക്ഷം യുഎസ് ഡോളർ ($1038500) കവിഞ്ഞു. ഏറ്റവും വിജയകരമായ ടീമായ ടീം വിയറ്റലിന് മത്സരത്തിൽ നിന്ന് 180 ആയിരം യുഎസ് ഡോളർ സമ്പാദിക്കാൻ കഴിഞ്ഞു. രണ്ടാം സ്ഥാനം നേടിയവർക്ക് (ടീം ഓർക്കാ) 116.250 ആയിരം ഡോളറും മൂന്നാം സ്ഥാനക്കാർക്ക് (DEVCORE) 50 ആയിരം ഡോളറും ലഭിച്ചു.

മത്സര സമയത്ത്, ഉപകരണങ്ങളിൽ വിദൂര കോഡ് നിർവ്വഹണത്തിലേക്ക് നയിച്ച ആക്രമണങ്ങൾ പ്രകടമാക്കി:

• TP-Link Omada Gigabit Router (Lexmark CX100000adwe പ്രിന്റർ ഉപയോഗിച്ച് ഹാക്കിംഗിന് $31250, $331; QNAP TS-50000 നെറ്റ്‌വർക്ക് സ്റ്റോറേജ് ഉപയോഗിച്ച് ഹാക്കിംഗിന് $464; $40750, സിനോളജി ഉപയോഗിച്ച് $500 BC50000 ക്യാമറ ഉപയോഗിച്ച് ഹാക്കിംഗ്, $31250 BC753 ക്യാമറ ഉപയോഗിച്ച് ഹാക്കിംഗ്; SS പ്രിന്റർ MFXNUMXCdw).
• സിനോളജി RT6600ax റൂട്ടർ (QNAP TS-50000 നെറ്റ്‌വർക്ക് സ്റ്റോറേജിനൊപ്പം ഹാക്കിംഗിന് $464).
• Samsung Galaxy S23 സ്‌മാർട്ട്‌ഫോൺ (ബാഹ്യ ഡാറ്റയുടെ അപര്യാപ്തമായ സ്ഥിരീകരണം മൂലമുണ്ടാകുന്ന കേടുപാടുകൾ ഉപയോഗിച്ച് ഹാക്കിംഗിന് $50000, മൂന്ന് ബോണസുകൾ $25000; ഇതിനകം അറിയപ്പെടുന്ന ചൂഷണം ഉപയോഗിക്കുന്നതിന് $6250).
• Xiaomi 13 Pro സ്മാർട്ട്ഫോൺ ($40000, $20000).
• സിനോളജി BC500 CCTV ക്യാമറ (ബഫർ ഓവർഫ്ലോ ദുർബലതയിലൂടെ ഹാക്ക് ചെയ്യുന്നതിനുള്ള $30000 അവാർഡ്; മൂന്ന് അപകടസാധ്യതകൾ ഉൾപ്പെടുന്ന ഒരു ചൂഷണത്തിന് $15000; ഇതിനകം അറിയപ്പെടുന്ന ഒരു ചൂഷണം ഉപയോഗിച്ചതിന് $3750 വീതം അഞ്ച് അവാർഡുകൾ).
• Wyze Cam v3 സെക്യൂരിറ്റി ക്യാമറ (ഒരു കമാൻഡ് സബ്സ്റ്റിറ്റ്യൂഷൻ എക്സ്പ്ലോയിറ്റിന് $30000; ഒരു ബഫർ ഓവർഫ്ലോ എക്സ്പ്ലോയിറ്റിന് $15000; രണ്ട് കേടുപാടുകൾ ഉൾപ്പെടുന്ന ഒരു ചൂഷണത്തിന് $15000; $15000 ഒരു ബഫർ ഓവർഫ്ലോ എക്സ്പ്ലോയിറ്റിന് $3750, കെർണലിലെ ഒരു വയർലെസ് ഡ്രൈവർ എക്‌സ്‌പ്ലോയിറ്റിന്, $XNUMX, XNUMX ഉപയോഗത്തിനായി ഇതിനകം അറിയപ്പെടുന്ന എക്സ്പ്ലോയിറ്റ്;
• നെറ്റ്‌വർക്ക് സംഭരണം WD My Cloud Pro PR4100 (രണ്ട് അപകടങ്ങൾ ഉൾപ്പെടുന്ന ഒരു ചൂഷണത്തിന് $40000).
• നെറ്റ്‌വർക്ക് സംഭരണം QNAP TS-464 (മൂന്ന് കേടുപാടുകൾ ഉൾപ്പെടുന്ന ഒരു ചൂഷണത്തിന് $40000; രണ്ട് കേടുപാടുകൾ ഉൾപ്പെടുന്ന ഒരു ചൂഷണത്തിന് $20000; കേടുപാടുകൾ ഉൾപ്പെടുന്ന ഒരു ചൂഷണത്തിന് $20000) ബേസ് ഡയറക്ടറി ട്രാവേഴ്സലും $12500 എന്ന കമാൻഡ് ഉപയോഗവും ഉപയോഗിച്ച് ഇതിനകം അറിയപ്പെടുന്ന $5000, XNUMX കമാൻഡ് എക്‌സ്‌റ്റിറ്റ്യൂഷൻ;
• Canon imageCLASS MF753Cdw പ്രിന്റർ (ബഫർ ഓവർഫ്ലോ കേടുപാടുകളിലൂടെ ഹാക്ക് ചെയ്യുന്നതിന് $20000, മൂന്ന് $10000 ബോണസുകൾ; ഇതിനകം അറിയപ്പെടുന്ന ഒരു ചൂഷണം ഉപയോഗിക്കുന്നതിന് $2500, $2500).
• Lexmark CX331adwe പ്രിന്റർ (മെമ്മറി അഴിമതി ചൂഷണത്തിന് $20000; ബഫർ ഓവർഫ്ലോ എക്സ്പ്ലോയിറ്റിന് $10000).
• HP Color LaserJet Pro MFP 4301fdw പ്രിന്റർ (ബഫർ ഓവർഫ്ലോ ദുർബലത വഴി ഹാക്ക് ചെയ്യുന്നതിന് $20000).
• Sonos Era 100 വയർലെസ് സ്പീക്കർ (ബഫറിൽ നിന്ന് മെമ്മറിയിൽ നിന്ന് വായിക്കുന്നതിനും അത് മോചിപ്പിച്ചതിന് ശേഷം മെമ്മറി ആക്‌സസ് ചെയ്യുന്നതിനും ഇടയാക്കുന്ന രണ്ട് കേടുപാടുകൾ ഉപയോഗിച്ച് ഒരു ചൂഷണത്തിന് $60000; $30000, $18750,

മുകളിൽ സൂചിപ്പിച്ച വിജയകരമായ ആക്രമണങ്ങൾക്ക് പുറമേ, കേടുപാടുകൾ മുതലെടുക്കാനുള്ള 7 ശ്രമങ്ങൾ പരാജയപ്പെട്ടു (കാനൺ ഇമേജ്ക്ലാസ് MF753Cdw പ്രിന്റർ ഹാക്ക് ചെയ്യാനുള്ള മൂന്ന് ശ്രമങ്ങൾ, രണ്ട് ശ്രമങ്ങൾ - Lexmark CX331adwe, രണ്ട് ശ്രമങ്ങൾ - Xiamoi 13 Pro).

പ്രശ്നത്തിന്റെ പ്രത്യേക ഘടകങ്ങൾ ഇതുവരെ റിപ്പോർട്ട് ചെയ്തിട്ടില്ല. മത്സര നിബന്ധനകൾക്ക് അനുസൃതമായി, തെളിയിക്കപ്പെട്ട എല്ലാ 0-ദിന കേടുപാടുകളെയും കുറിച്ചുള്ള വിശദമായ വിവരങ്ങൾ 90 ദിവസത്തിന് ശേഷം മാത്രമേ പ്രസിദ്ധീകരിക്കൂ, അവ കേടുപാടുകൾ ഇല്ലാതാക്കുന്ന അപ്‌ഡേറ്റുകൾ തയ്യാറാക്കാൻ നിർമ്മാതാക്കൾക്ക് നൽകുന്നു.

അവലംബം: opennet.ru