De resultaten van drie dagen van de Pwn2Own 2022-wedstrijd, die jaarlijks wordt gehouden als onderdeel van de CanSecWest-conferentie, zijn samengevat. Er zijn werktechnieken gedemonstreerd voor het misbruiken van voorheen onbekende kwetsbaarheden voor Ubuntu Desktop, Virtualbox, Safari, Windows 11, Microsoft Teams en Firefox. In totaal werden 25 succesvolle aanvallen gedemonstreerd, en drie pogingen eindigden in een mislukking. Bij de aanvallen werd gebruik gemaakt van de nieuwste stabiele releases van applicaties, browsers en besturingssystemen met alle beschikbare updates en standaardconfiguraties. Het totale bedrag aan betaalde beloningen bedroeg USD 1,155,000.
De wedstrijd demonstreerde vijf succesvolle pogingen om voorheen onbekende kwetsbaarheden in Ubuntu Desktop te misbruiken, ondernomen door verschillende teams van deelnemers. Er werd één prijs van $ 40 betaald voor het demonstreren van lokale escalatie van privileges in Ubuntu Desktop door gebruik te maken van twee bufferoverflow- en double free-problemen. Er werden vier onderscheidingen, elk ter waarde van $40, toegekend voor het aantonen van escalatie van privileges door misbruik van Use-After-Free-kwetsbaarheden.
De exacte componenten van het probleem zijn nog niet gerapporteerd; in overeenstemming met de voorwaarden van de wedstrijd zal gedetailleerde informatie over alle aangetoonde 0-day-kwetsbaarheden pas na 90 dagen worden gepubliceerd, die aan de fabrikanten worden gegeven om updates voor te bereiden die de kwetsbaarheden.
Andere succesvolle aanvallen:
- 100 duizend dollar voor de ontwikkeling van een exploit voor Firefox, waardoor bij het openen van een speciaal ontworpen pagina de sandbox-isolatie kon worden omzeild en code in het systeem kon worden uitgevoerd.
- $ 40 om een ββexploit te demonstreren die een bufferoverflow in Oracle Virtualbox gebruikt om uit te loggen bij een gast.
- 50 dollar voor het bedienen van Apple Safari (bufferoverflow).
- 450 duizend dollar voor het hacken van Microsoft Teams (verschillende teams demonstreerden drie hacks met een beloning van elk 150 duizend).
- 80 dollar (twee beloningen van elk 40) voor het exploiteren van bufferoverflows en het escaleren van iemands privileges in Microsoft Windows 11.
- 80 dollar (twee beloningen van elk 40) voor het misbruiken van een bug in de toegangsverificatiecode om iemands privileges in Microsoft Windows 11 te vergroten.
- $ 40 voor het misbruiken van integer-overflow om privileges in Microsoft Windows 11 te escaleren.
- $ 40 voor het misbruiken van een Use-After-Free-kwetsbaarheid in Microsoft Windows 11.
- $ 75 voor het demonstreren van een aanval op het infotainmentsysteem van een Telsa Model 3. De exploit maakte gebruik van bugs die leidden tot bufferoverflows en dubbele vrijgaves, samen met een eerder bekende techniek om sandbox-isolatie te omzeilen.
Er zijn aparte, maar niet succesvolle, pogingen ondernomen om Microsoft Windows 11 (6 succesvolle hacks en 1 mislukte), Tesla (1 succesvolle hack en 1 mislukte) en Microsoft Teams (3 succesvolle hacks en 1 mislukte) te hacken. Er zijn dit jaar geen verzoeken geweest om exploits in Google Chrome aan te tonen.
Bron: opennet.ru