CanSecWest чуулганы хүрээнд жил бүр зохион байгуулдаг Pwn2Own 2021 тэмцээний гурван өдрийн үр дүнг нэгтгэн гаргалаа. Өнгөрсөн жилийн нэгэн адил тэмцээн виртуал хэлбэрээр явагдаж, довтолгоонуудыг онлайнаар харуулсан. Зорилтот 23 зорилтоос Ubuntu Desktop, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams болон Zoom зэрэгт урьд өмнө мэдэгдээгүй сул талуудыг ашиглах арга техникийг үзүүлэв. Бүх тохиолдолд програмын хамгийн сүүлийн хувилбарууд, түүний дотор боломжтой бүх шинэчлэлтүүдийг туршиж үзсэн. Төлбөрийн нийт дүн нь нэг сая хоёр зуун мянган ам.доллар (нийт шагналын сан нэг сая хагас доллар байсан).
Тэмцээний үеэр Ubuntu Desktop-ийн сул талыг ашиглах гурван оролдлого хийсэн. Эхний болон хоёр дахь оролдлого хүчинтэй байсан бөгөөд халдагчид буферийн хэт ачаалал, давхар санах ойтой холбоотой урьд өмнө мэдэгдээгүй сул талуудыг ашиглан давуу эрхээ нэмэгдүүлэх боломжтой болсон (энэ нь асуудлын бүрэлдэхүүн хэсгүүдийг хараахан мэдээлээгүй байна; хөгжүүлэгчдэд залруулах 90 хоногийн хугацаа өгсөн) өгөгдлийг задлахаас өмнөх алдаа). Эдгээр эмзэг байдлын төлөө 30 долларын урамшуулал төлсөн.
Орон нутгийн давуу эрхийг урвуулан ашиглах ангилалд багтсан өөр багийн хийсэн гурав дахь оролдлого нь зөвхөн хэсэгчлэн амжилттай болсон - мөлжлөг нь ажиллаж, root хандалт авах боломжийг олгосон боловч эмзэг байдалтай холбоотой алдаа аль хэдийн мэдэгдэж байсан тул халдлагыг бүрэн тооцож чадаагүй байна. Ubuntu-ийн хөгжүүлэгчид болон засвартай шинэчлэлтийг бэлтгэж байна.
Мөн Chromium хөдөлгүүр дээр суурилсан Google Chrome болон Microsoft Edge хөтөч дээр амжилттай халдлага хийсэн. Chrome болон Edge дээр тусгайлан боловсруулсан хуудас нээх үед кодыг ажиллуулах боломжийг олгодог эксплойт үүсгэснийх нь төлөө (хоёр хөтөч дээр нэг бүх нийтийн эксплойт үүсгэсэн) 100 мянган долларын шагнал төлсөн. Засварыг ойрын хэдэн цагт нийтлэхээр төлөвлөж байгаа бөгөөд одоогоор мэдэгдэж байгаа зүйл бол вэб контентыг боловсруулах (рендер) хариуцах үйл явцад эмзэг байдал байгаа явдал юм.
Бусад амжилттай халдлага:
- Zoom програмыг хакердсаных нь төлөө 200 мянган доллар (хүлээн авагчийн зүгээс ямар нэгэн үйлдэл хийх шаардлагагүйгээр өөр хэрэглэгч рүү мессеж илгээж өөрийн кодыг ажиллуулж чадсан). Халдлагад Zoom-ийн гурван, Windows үйлдлийн системийн нэг сул талыг ашигласан.
- Microsoft Exchange-ийг хакердсаны төлөө 200 мянган доллар (администраторын эрхийг олж авахын тулд нэвтрэлт танилтыг алгасаж, сервер дээрх давуу эрхүүдийг орон нутгийн хэмжээнд нэмэгдүүлэх). Өөр нэг амжилттай ажиллаж буй мөлжлөгийг өөр багт үзүүлсэн боловч эхний баг ижил алдааг ашигласан тул хоёрдугаар шагналыг төлөөгүй.
- Microsoft Teams-ийг хакердсаны төлөө 200 мянган доллар (сервер дээрх кодыг гүйцэтгэх).
- Apple Safari-г ашиглахад 100 мянган доллар (Safari дахь бүхэл тоо болон macOS цөм дэх буфер халих, хамгаалагдсан хязгаарлагдмал орчинг тойрч, цөмийн түвшинд кодыг ажиллуулах).
- Parallels Desktop-ыг хакердсаны (виртуал машинаас гарч, үндсэн систем дээр код ажиллуулах) 140 мянган доллар. Энэхүү халдлага нь санах ойн эхлээгүй алдагдал, стек халих, бүхэл тоон халилт гэсэн гурван өөр эмзэг байдлыг ашиглах замаар хийгдсэн.
- Parallels Desktop-ийг хакердсанд тус бүр 40 мянган долларын хоёр шагнал (логик алдаа ба буфер халилт нь виртуал машин доторх үйлдлээр гадаад үйлдлийн системд код гүйцэтгэх боломжийг олгосон).
- Windows 40-ийн гурван амжилттай ашиглалтын төлөө 10 мянган долларын гурван шагнал (бүхэл тоон хэт их ачаалал, аль хэдийн суллагдсан санах ойд нэвтрэх эрх, СИСТЕМ-ийн эрх авах боломжийг олгосон уралдааны нөхцөл).
Oracle VirtualBox-ыг хакердах оролдлого хийсэн боловч амжилтгүй болсон. Firefox, VMware ESXi, Hyper-V клиент, MS Office 365, MS SharePoint, MS RDP болон Adobe Reader программыг хакердах нэр дэвшүүлсэн нэр дэвшсэн хэвээр үлдсэн. Мөн 600 мянган долларын шагнал дээр нь Tesla Model 3 машин авсан ч Tesla машины мэдээллийн системийг хакердсаныг харуулахыг хүссэн хүн байсангүй.
Эх сурвалж: opennet.ru