टोरन्टोमा Pwn2Own प्रतियोगितामा प्रदर्शन गरिएको 63 नयाँ कमजोरीहरूको लागि शोषण

Pwn2Own टोरन्टो 2022 प्रतियोगिताको चार दिनको नतिजाहरू संक्षेप गरिएको छ, जसमा मोबाइल उपकरणहरू, प्रिन्टरहरू, स्मार्ट स्पिकरहरू, भण्डारण प्रणालीहरू र राउटरहरूमा 63 पहिले अज्ञात कमजोरीहरू (0-दिन) प्रदर्शन गरिएको थियो। आक्रमणहरूले सबै उपलब्ध अद्यावधिकहरू र पूर्वनिर्धारित कन्फिगरेसनमा नवीनतम फर्मवेयर र अपरेटिङ सिस्टमहरू प्रयोग गर्यो। तिरेको शुल्कको कुल रकम US$934,750 थियो।

प्रतियोगितामा ३६ टोली र सुरक्षा अनुसन्धानकर्ताहरूले भाग लिएका थिए। सबैभन्दा सफल DEVCORE टोली प्रतियोगिताबाट 36 हजार अमेरिकी डलर कमाउन सफल भयो। दोस्रो स्थानका विजेताहरू (टीम भाइटेल)ले $८२ हजार र तेस्रो स्थानका विजेता (एनसीसी समूह)ले $७८ हजार प्राप्त गरे।

प्रतियोगिताको बखत, आक्रमणहरू प्रदर्शन गरिएका थिए जसले उपकरणहरूमा रिमोट कोड कार्यान्वयन गर्न निम्त्यायो:

• Canon imageCLASS MF743Cdw प्रिन्टर (11 सफल आक्रमणहरू, $ 5000 र $ 10000 पुरस्कारहरू)।
• Lexmark MC3224i प्रिन्टर (8 आक्रमणहरू, $ 7500, $ 10000 र $ 5000 को बोनस)।
• HP Color LaserJet Pro M479fdw प्रिन्टर (5 आक्रमणहरू, $ 5000, $ 10000 र $ 20000 पुरस्कारहरू)।
• स्मार्ट स्पिकर सोनोस वन स्पिकर (3 आक्रमण, प्रीमियम $ 22500 र $ 60000)।
• Synology DiskStation DS920+ नेटवर्क भण्डारण (दुई आक्रमणहरू, $40000 र $20000 प्रिमियमहरू)।
• WD My Cloud Pro PR4100 नेटवर्क भण्डारण ($ 3 को 20000 पुरस्कार र $ 40000 को एक पुरस्कार)।
• Synology RT6600ax राउटर ($ 5 बोनसको साथ WAN मार्फत 20000 आक्रमणहरू र LAN मार्फत आक्रमणहरूको लागि $ 5000 र $ 1250 को दुई बोनस)।
• सिस्को एकीकृत सेवा राउटर C921-4P ($37500)।
• Mikrotik RouterBoard RB2011UiAS-IN राउटर (बहु-चरण ह्याकिङको लागि $ 100,000 पुरस्कार - पहिले Mikrotik राउटर आक्रमण गरियो, र त्यसपछि, LAN, एक क्यानन प्रिन्टरमा पहुँच प्राप्त गरेपछि)।
• NETGEAR RAX30 AX2400 राउटर (7 आक्रमणहरू, $1250, $2500, $5000, $7500, $8500 र $10000 प्रिमियमहरू)।
• TP-Link AX1800/Archer AX21 राउटर (WAN आक्रमण, $20000 प्रीमियम, र LAN आक्रमण, $5000 प्रिमियम)।
• Ubiquiti EdgeRouter X SFP राउटर ($ ५०,०००)।
• Samsung Galaxy S22 स्मार्टफोन (4 आक्रमणहरू, तीन $ 25000 पुरस्कार र एक $ 50000 पुरस्कार)।

माथि उल्लेख गरिएका सफल आक्रमणहरूको अतिरिक्त, कमजोरीहरूको शोषण गर्ने 11 प्रयासहरू विफलतामा समाप्त भए। प्रतियोगितामा, Apple iPhone 13 र Google Pixel 6 लाई ह्याक गर्ने प्रस्ताव पनि गरिएको थियो, तर आक्रमणहरू गर्नका लागि कुनै अनुप्रयोगहरू प्राप्त भएनन्, यद्यपि यी यन्त्रहरूको लागि कर्नेल स्तरमा कोड कार्यान्वयन गर्न अनुमति दिने शोषणको तयारीको लागि अधिकतम पुरस्कार $ 250,000 थियो। । अमेजन इको शो 15, मेटा पोर्टल गो र गुगल नेस्ट हब म्याक्स, साथै स्मार्ट स्पिकरहरू एप्पल होमपड मिनी, अमेजन इको स्टुडियो र गुगल नेस्ट अडियो, ह्याकिङको लागि $ 60,000 को पुरस्कार, ह्याक गर्ने प्रस्तावहरू पनि अदावी रहन्छन्।

समस्याको कुन विशेष कम्पोनेन्टहरू अझै रिपोर्ट गरिएको छैन; प्रतिस्पर्धाका सर्तहरू अनुसार, सबै प्रदर्शन गरिएका 0-दिनको कमजोरीहरूको बारेमा विस्तृत जानकारी 120 दिन पछि मात्र प्रकाशित गरिनेछ, जुन निर्माताहरूलाई कमजोरीहरू हटाउन अपडेटहरू तयार गर्न दिइन्छ।

स्रोत: opennet.ru