Ubuntu, Windows, macOS ਅਤੇ VirtualBox ਦੇ ਹੈਕ Pwn2Own 2020 ਮੁਕਾਬਲੇ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੇ ਗਏ ਸਨ

ਨੀਵਾਂ ਕਰਨਾ CanSecWest ਕਾਨਫਰੰਸ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਸਾਲਾਨਾ ਆਯੋਜਿਤ Pwn2Own 2020 ਦੇ ਦੋ ਦਿਨਾਂ ਮੁਕਾਬਲਿਆਂ ਦੇ ਨਤੀਜੇ। ਇਸ ਸਾਲ ਮੁਕਾਬਲਾ ਅਸਲ ਵਿੱਚ ਆਯੋਜਿਤ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਹਮਲਿਆਂ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਆਨਲਾਈਨ ਕੀਤਾ ਗਿਆ ਸੀ। ਮੁਕਾਬਲੇ ਨੇ Ubuntu Desktop (Linux kernel), Windows, macOS, Safari, VirtualBox ਅਤੇ Adobe Reader ਵਿੱਚ ਪਿਛਲੀਆਂ ਅਣਜਾਣ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਕੰਮ ਕਰਨ ਦੀਆਂ ਤਕਨੀਕਾਂ ਪੇਸ਼ ਕੀਤੀਆਂ। ਭੁਗਤਾਨਾਂ ਦੀ ਕੁੱਲ ਰਕਮ 270 ਹਜ਼ਾਰ ਡਾਲਰ ਸੀ (ਕੁੱਲ ਇਨਾਮ ਫੰਡ ਸੀ 4 ਮਿਲੀਅਨ ਅਮਰੀਕੀ ਡਾਲਰ ਤੋਂ ਵੱਧ).

• ਇਨਪੁਟ ਮੁੱਲਾਂ (ਇਨਾਮ $30) ਦੀ ਗਲਤ ਤਸਦੀਕ ਨਾਲ ਸੰਬੰਧਿਤ ਲੀਨਕਸ ਕਰਨਲ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ ਉਬੰਟੂ ਡੈਸਕਟੌਪ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੀ ਸਥਾਨਕ ਵਾਧਾ;
• ਵਰਚੁਅਲਬੌਕਸ ਵਿੱਚ ਗੈਸਟ ਵਾਤਾਵਰਨ ਤੋਂ ਬਾਹਰ ਨਿਕਲਣ ਅਤੇ ਹਾਈਪਰਵਾਈਜ਼ਰ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦਾ ਪ੍ਰਦਰਸ਼ਨ, ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨਾ - ਨਿਰਧਾਰਤ ਬਫਰ ਤੋਂ ਬਾਹਰ ਇੱਕ ਖੇਤਰ ਤੋਂ ਡਾਟਾ ਪੜ੍ਹਨ ਦੀ ਸਮਰੱਥਾ ਅਤੇ ਅਣ-ਸ਼ੁਰੂਆਤੀ ਵੇਰੀਏਬਲ (40 ਹਜ਼ਾਰ ਡਾਲਰ ਦਾ ਇਨਾਮ) ਨਾਲ ਕੰਮ ਕਰਦੇ ਸਮੇਂ ਇੱਕ ਗਲਤੀ। ਮੁਕਾਬਲੇ ਦੇ ਬਾਹਰ, ਜ਼ੀਰੋ ਡੇ ਇਨੀਸ਼ੀਏਟਿਵ ਦੇ ਨੁਮਾਇੰਦਿਆਂ ਨੇ ਇੱਕ ਹੋਰ ਵਰਚੁਅਲ ਬਾਕਸ ਹੈਕ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਵੀ ਕੀਤਾ, ਜੋ ਮਹਿਮਾਨ ਵਾਤਾਵਰਣ ਵਿੱਚ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ ਹੋਸਟ ਸਿਸਟਮ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ;
  
  
  

• macOS ਕਰਨਲ ਪੱਧਰ ਤੱਕ ਉੱਚੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ਸਫਾਰੀ ਨੂੰ ਹੈਕ ਕਰਨਾ ਅਤੇ ਕੈਲਕੁਲੇਟਰ ਨੂੰ ਰੂਟ ਵਜੋਂ ਚਲਾਉਣਾ। ਸ਼ੋਸ਼ਣ ਲਈ, 6 ਗਲਤੀਆਂ ਦੀ ਇੱਕ ਲੜੀ ਵਰਤੀ ਗਈ ਸੀ (ਇਨਾਮ 70 ਹਜ਼ਾਰ ਡਾਲਰ);
• ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਸ਼ੋਸ਼ਣ ਦੁਆਰਾ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਸਥਾਨਕ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੇ ਵਾਧੇ ਦੇ ਦੋ ਪ੍ਰਦਰਸ਼ਨ ਜੋ ਪਹਿਲਾਂ ਤੋਂ ਮੁਕਤ ਮੈਮੋਰੀ ਖੇਤਰ ਤੱਕ ਪਹੁੰਚ ਕਰਦੇ ਹਨ (ਹਰੇਕ 40 ਹਜ਼ਾਰ ਡਾਲਰ ਦੇ ਦੋ ਇਨਾਮ);
• Adobe Reader ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ PDF ਦਸਤਾਵੇਜ਼ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਪ੍ਰਸ਼ਾਸਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨਾ। ਹਮਲੇ ਵਿੱਚ ਐਕਰੋਬੈਟ ਅਤੇ ਵਿੰਡੋਜ਼ ਕਰਨਲ ਵਿੱਚ ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਮੁਕਤ ਮੈਮੋਰੀ ਖੇਤਰਾਂ ($50 ਦਾ ਇਨਾਮ) ਤੱਕ ਪਹੁੰਚਣ ਨਾਲ ਸਬੰਧਤ ਕਮਜ਼ੋਰੀਆਂ ਸ਼ਾਮਲ ਹਨ।

ਕ੍ਰੋਮ, ਫਾਇਰਫਾਕਸ, ਐਜ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਹਾਈਪਰ-ਵੀ ਕਲਾਇੰਟ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਆਫਿਸ ਅਤੇ ਮਾਈਕ੍ਰੋਸਾਫਟ ਵਿੰਡੋਜ਼ ਆਰਡੀਪੀ ਹੈਕਿੰਗ ਲਈ ਨਾਮਜ਼ਦਗੀਆਂ ਦਾ ਦਾਅਵਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ। VMware ਵਰਕਸਟੇਸ਼ਨ ਨੂੰ ਹੈਕ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਗਈ ਸੀ, ਪਰ ਇਹ ਅਸਫਲ ਰਿਹਾ ਸੀ।
ਪਿਛਲੇ ਸਾਲ ਵਾਂਗ, ਇਨਾਮੀ ਸ਼੍ਰੇਣੀਆਂ ਵਿੱਚ ਜ਼ਿਆਦਾਤਰ ਓਪਨ ਸੋਰਸ ਪ੍ਰੋਜੈਕਟਾਂ (nginx, OpenSSL, Apache httpd) ਦੇ ਹੈਕ ਸ਼ਾਮਲ ਨਹੀਂ ਸਨ।

ਵੱਖਰੇ ਤੌਰ 'ਤੇ, ਅਸੀਂ ਟੇਸਲਾ ਕਾਰ ਦੇ ਸੂਚਨਾ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਹੈਕ ਕਰਨ ਦੇ ਵਿਸ਼ੇ ਨੂੰ ਨੋਟ ਕਰ ਸਕਦੇ ਹਾਂ. $700 ਹਜ਼ਾਰ ਦੇ ਵੱਧ ਤੋਂ ਵੱਧ ਇਨਾਮ ਦੇ ਬਾਵਜੂਦ, ਮੁਕਾਬਲੇ ਵਿੱਚ ਟੇਸਲਾ ਨੂੰ ਹੈਕ ਕਰਨ ਦੀ ਕੋਈ ਕੋਸ਼ਿਸ਼ ਨਹੀਂ ਕੀਤੀ ਗਈ, ਪਰ ਵੱਖਰੇ ਤੌਰ 'ਤੇ информация информация ਟੇਸਲਾ ਮਾਡਲ 2020 ਵਿੱਚ ਇੱਕ DoS ਕਮਜ਼ੋਰੀ (CVE-10558-3) ਦੀ ਪਛਾਣ ਬਾਰੇ, ਜੋ ਬਿਲਟ-ਇਨ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਪੰਨੇ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ, ਆਟੋਪਾਇਲਟ ਤੋਂ ਸੂਚਨਾਵਾਂ ਨੂੰ ਅਯੋਗ ਕਰਨ ਅਤੇ ਕੰਪੋਨੈਂਟਸ ਦੇ ਸੰਚਾਲਨ ਵਿੱਚ ਵਿਘਨ ਪਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਸਪੀਡੋਮੀਟਰ, ਬ੍ਰਾਊਜ਼ਰ, ਏਅਰ ਕੰਡੀਸ਼ਨਿੰਗ, ਨੇਵੀਗੇਸ਼ਨ ਸਿਸਟਮ, ਆਦਿ।

ਸਰੋਤ: opennet.ru