Ubuntu, Chrome, Safari, Parallels ਅਤੇ Microsoft ਉਤਪਾਦ Pwn2Own 2021 ਮੁਕਾਬਲੇ ਵਿੱਚ ਹੈਕ ਕੀਤੇ ਗਏ ਸਨ।

CanSecWest ਕਾਨਫਰੰਸ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਸਾਲਾਨਾ ਆਯੋਜਿਤ ਕੀਤੇ ਗਏ Pwn2Own 2021 ਮੁਕਾਬਲੇ ਦੇ ਤਿੰਨ ਦਿਨਾਂ ਦੇ ਨਤੀਜਿਆਂ ਦਾ ਸਾਰ ਦਿੱਤਾ ਗਿਆ ਹੈ। ਪਿਛਲੇ ਸਾਲ ਦੀ ਤਰ੍ਹਾਂ, ਮੁਕਾਬਲਾ ਵਰਚੁਅਲ ਤੌਰ 'ਤੇ ਆਯੋਜਿਤ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਹਮਲਿਆਂ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਆਨਲਾਈਨ ਕੀਤਾ ਗਿਆ ਸੀ। 23 ਨਿਸ਼ਾਨੇ ਵਾਲੇ ਟੀਚਿਆਂ ਵਿੱਚੋਂ, ਉਬੰਟੂ ਡੈਸਕਟੌਪ, ਵਿੰਡੋਜ਼ 10, ਕ੍ਰੋਮ, ਸਫਾਰੀ, ਸਮਾਨਾਂਤਰ ਡੈਸਕਟੌਪ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਐਕਸਚੇਂਜ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਟੀਮਾਂ ਅਤੇ ਜ਼ੂਮ ਲਈ ਪਹਿਲਾਂ ਤੋਂ ਅਣਜਾਣ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਕੰਮ ਕਰਨ ਦੀਆਂ ਤਕਨੀਕਾਂ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ ਗਿਆ ਸੀ। ਸਾਰੇ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਸਾਰੇ ਉਪਲਬਧ ਅੱਪਡੇਟਾਂ ਸਮੇਤ, ਪ੍ਰੋਗਰਾਮਾਂ ਦੇ ਨਵੀਨਤਮ ਸੰਸਕਰਣਾਂ ਦੀ ਜਾਂਚ ਕੀਤੀ ਗਈ ਸੀ। ਭੁਗਤਾਨਾਂ ਦੀ ਕੁੱਲ ਰਕਮ ਇੱਕ ਮਿਲੀਅਨ ਦੋ ਲੱਖ ਅਮਰੀਕੀ ਡਾਲਰ ਸੀ (ਕੁੱਲ ਇਨਾਮ ਫੰਡ ਡੇਢ ਮਿਲੀਅਨ ਡਾਲਰ ਸੀ)।

ਮੁਕਾਬਲੇ ਵਿੱਚ, ਉਬੰਟੂ ਡੈਸਕਟੌਪ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਤਿੰਨ ਕੋਸ਼ਿਸ਼ਾਂ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ। ਪਹਿਲੀ ਅਤੇ ਦੂਜੀ ਕੋਸ਼ਿਸ਼ਾਂ ਵੈਧ ਸਨ ਅਤੇ ਹਮਲਾਵਰ ਬਫਰ ਓਵਰਫਲੋ ਅਤੇ ਡਬਲ ਫ੍ਰੀ ਮੈਮੋਰੀ (ਜੋ ਕਿ ਸਮੱਸਿਆ ਦੇ ਹਿੱਸੇ ਅਜੇ ਤੱਕ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ; ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ 90 ਦਿਨ ਦਿੱਤੇ ਗਏ ਹਨ) ਨਾਲ ਸੰਬੰਧਿਤ ਪਹਿਲਾਂ ਅਣਜਾਣ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੇ ਸਥਾਨਕ ਵਾਧੇ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕਰਨ ਦੇ ਯੋਗ ਸਨ ਡੇਟਾ ਦਾ ਖੁਲਾਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਗਲਤੀਆਂ). ਇਹਨਾਂ ਕਮਜ਼ੋਰੀਆਂ ਲਈ $30 ਦੇ ਬੋਨਸ ਦਾ ਭੁਗਤਾਨ ਕੀਤਾ ਗਿਆ ਸੀ।

ਸਥਾਨਕ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਦੁਰਵਿਵਹਾਰ ਸ਼੍ਰੇਣੀ ਵਿੱਚ ਇੱਕ ਹੋਰ ਟੀਮ ਦੁਆਰਾ ਕੀਤੀ ਗਈ ਤੀਜੀ ਕੋਸ਼ਿਸ਼, ਸਿਰਫ ਅੰਸ਼ਕ ਤੌਰ 'ਤੇ ਸਫਲ ਰਹੀ - ਸ਼ੋਸ਼ਣ ਨੇ ਕੰਮ ਕੀਤਾ ਅਤੇ ਇਸਨੂੰ ਰੂਟ ਐਕਸੈਸ ਪ੍ਰਾਪਤ ਕਰਨਾ ਸੰਭਵ ਬਣਾਇਆ, ਪਰ ਹਮਲੇ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਕ੍ਰੈਡਿਟ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ, ਕਿਉਂਕਿ ਕਮਜ਼ੋਰੀ ਨਾਲ ਜੁੜੀ ਗਲਤੀ ਪਹਿਲਾਂ ਹੀ ਜਾਣੀ ਜਾਂਦੀ ਸੀ। ਉਬੰਟੂ ਡਿਵੈਲਪਰਾਂ ਲਈ ਅਤੇ ਇੱਕ ਫਿਕਸ ਦੇ ਨਾਲ ਇੱਕ ਅਪਡੇਟ ਤਿਆਰੀ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਸੀ।

ਕ੍ਰੋਮੀਅਮ ਇੰਜਣ - ਗੂਗਲ ਕਰੋਮ ਅਤੇ ਮਾਈਕ੍ਰੋਸਾਫਟ ਐਜ 'ਤੇ ਅਧਾਰਤ ਬ੍ਰਾਉਜ਼ਰਾਂ ਲਈ ਇੱਕ ਸਫਲ ਹਮਲਾ ਵੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਸੀ। ਇੱਕ ਸ਼ੋਸ਼ਣ ਬਣਾਉਣ ਲਈ ਜੋ ਤੁਹਾਨੂੰ ਕ੍ਰੋਮ ਅਤੇ ਐਜ (ਦੋ ਬ੍ਰਾਉਜ਼ਰਾਂ ਲਈ ਇੱਕ ਯੂਨੀਵਰਸਲ ਸ਼ੋਸ਼ਣ ਬਣਾਇਆ ਗਿਆ ਸੀ) ਵਿੱਚ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਪੰਨੇ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਤੁਹਾਡੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, 100 ਹਜ਼ਾਰ ਡਾਲਰ ਦਾ ਇਨਾਮ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਫਿਕਸ ਨੂੰ ਆਉਣ ਵਾਲੇ ਘੰਟਿਆਂ ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾਈ ਗਈ ਹੈ, ਹੁਣ ਤੱਕ ਜੋ ਸਭ ਕੁਝ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ ਉਹ ਇਹ ਹੈ ਕਿ ਵੈਬ ਸਮੱਗਰੀ (ਰੈਂਡਰਰ) ਦੀ ਪ੍ਰਕਿਰਿਆ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਮੌਜੂਦ ਹੈ.

ਹੋਰ ਸਫਲ ਹਮਲੇ:

• ਜ਼ੂਮ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਹੈਕ ਕਰਨ ਲਈ $200 ਹਜ਼ਾਰ (ਪ੍ਰਾਪਤਕਰਤਾ ਦੀ ਕਿਸੇ ਵੀ ਕਾਰਵਾਈ ਦੀ ਲੋੜ ਤੋਂ ਬਿਨਾਂ, ਕਿਸੇ ਹੋਰ ਉਪਭੋਗਤਾ ਨੂੰ ਸੁਨੇਹਾ ਭੇਜ ਕੇ ਉਸ ਦੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਲਈ ਪ੍ਰਬੰਧਿਤ)। ਹਮਲੇ ਵਿੱਚ ਜ਼ੂਮ ਵਿੱਚ ਤਿੰਨ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਵਿੰਡੋਜ਼ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਇੱਕ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ।
• ਮਾਈਕਰੋਸਾਫਟ ਐਕਸਚੇਂਜ ਹੈਕ ਕਰਨ ਲਈ $200 ਹਜ਼ਾਰ (ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸਰਵਰ 'ਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ ਅਤੇ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਵਧਾਉਣਾ)। ਇੱਕ ਹੋਰ ਸਫਲਤਾਪੂਰਵਕ ਕੰਮ ਕਰਨ ਵਾਲੇ ਸ਼ੋਸ਼ਣ ਦਾ ਇੱਕ ਹੋਰ ਟੀਮ ਨੂੰ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ ਗਿਆ ਸੀ, ਪਰ ਦੂਜੇ ਇਨਾਮ ਦਾ ਭੁਗਤਾਨ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ, ਕਿਉਂਕਿ ਉਹੀ ਤਰੁੱਟੀਆਂ ਪਹਿਲਾਂ ਹੀ ਪਹਿਲੀ ਟੀਮ ਦੁਆਰਾ ਵਰਤੀਆਂ ਗਈਆਂ ਸਨ।
• ਮਾਈਕ੍ਰੋਸਾਫਟ ਟੀਮਾਂ (ਸਰਵਰ 'ਤੇ ਕੋਡ ਚਲਾਉਣਾ) ਹੈਕ ਕਰਨ ਲਈ $200 ਹਜ਼ਾਰ।
• Apple Safari ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ $100 ਹਜ਼ਾਰ (ਸੈਂਡਬਾਕਸ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਅਤੇ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਕੋਡ ਚਲਾਉਣ ਲਈ Safari ਵਿੱਚ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ ਅਤੇ macOS ਕਰਨਲ ਵਿੱਚ ਬਫਰ ਓਵਰਫਲੋ)।
• ਪੈਰਲਲਜ਼ ਡੈਸਕਟਾਪ ਹੈਕ ਕਰਨ ਲਈ $140 ਹਜ਼ਾਰ (ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਤੋਂ ਬਾਹਰ ਨਿਕਲਣਾ ਅਤੇ ਮੁੱਖ ਸਿਸਟਮ 'ਤੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣਾ)। ਇਹ ਹਮਲਾ ਤਿੰਨ ਵੱਖ-ਵੱਖ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਸ਼ੋਸ਼ਣ ਦੁਆਰਾ ਕੀਤਾ ਗਿਆ ਸੀ - ਅਣ-ਸ਼ੁਰੂਆਤੀ ਮੈਮੋਰੀ ਲੀਕ, ਸਟੈਕ ਓਵਰਫਲੋ ਅਤੇ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ।
• ਸਮਾਨਾਂਤਰ ਡੈਸਕਟੌਪ ਨੂੰ ਹੈਕ ਕਰਨ ਲਈ 40 ਹਜ਼ਾਰ ਡਾਲਰ ਦੇ ਦੋ ਇਨਾਮ (ਇੱਕ ਤਰਕਪੂਰਨ ਗਲਤੀ ਅਤੇ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਜਿਸ ਨੇ ਕੋਡ ਨੂੰ ਇੱਕ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਦੇ ਅੰਦਰ ਕਾਰਵਾਈਆਂ ਦੁਆਰਾ ਇੱਕ ਬਾਹਰੀ OS ਵਿੱਚ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ)।
• ਵਿੰਡੋਜ਼ 40 ਦੇ ਤਿੰਨ ਸਫਲ ਕਾਰਨਾਮਿਆਂ ਲਈ 10 ਹਜ਼ਾਰ ਡਾਲਰ ਦੇ ਤਿੰਨ ਅਵਾਰਡ (ਅੰਤ ਅੰਕ ਓਵਰਫਲੋ, ਪਹਿਲਾਂ ਤੋਂ ਮੁਕਤ ਮੈਮੋਰੀ ਤੱਕ ਪਹੁੰਚ ਅਤੇ ਇੱਕ ਦੌੜ ਦੀ ਸਥਿਤੀ ਜਿਸ ਨਾਲ ਸਿਸਟਮ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ)।

ਓਰੇਕਲ ਵਰਚੁਅਲ ਬਾਕਸ ਨੂੰ ਹੈਕ ਕਰਨ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਕੀਤੀਆਂ ਗਈਆਂ, ਪਰ ਅਸਫਲ ਰਹੀਆਂ। Firefox, VMware ESXi, Hyper-V ਕਲਾਇੰਟ, MS Office 365, MS SharePoint, MS RDP ਅਤੇ Adobe Reader ਹੈਕਿੰਗ ਲਈ ਨਾਮਜ਼ਦਗੀਆਂ ਦਾ ਦਾਅਵਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ। 600 ਹਜ਼ਾਰ ਡਾਲਰ ਅਤੇ ਟੇਸਲਾ ਮਾਡਲ 3 ਕਾਰ ਦੇ ਇਨਾਮ ਦੇ ਬਾਵਜੂਦ, ਕੋਈ ਵੀ ਟੇਸਲਾ ਕਾਰ ਦੇ ਸੂਚਨਾ ਪ੍ਰਣਾਲੀ ਦੀ ਹੈਕਿੰਗ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕਰਨ ਲਈ ਤਿਆਰ ਨਹੀਂ ਸੀ।

ਸਰੋਤ: opennet.ru