Pwn2Own 2024 ਮੁਕਾਬਲੇ ਵਿੱਚ Ubuntu, Firefox, Chrome, Docker ਅਤੇ VirtualBox ਦੇ ਹੈਕਸ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ ਗਿਆ।

ਵੈਨਕੂਵਰ ਵਿੱਚ ਕੈਨਸੈਕਵੈਸਟ ਕਾਨਫਰੰਸ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਸਾਲਾਨਾ ਆਯੋਜਿਤ ਕੀਤੇ ਗਏ Pwn2Own 2024 ਮੁਕਾਬਲੇ ਦੇ ਦੋ ਦਿਨਾਂ ਦੇ ਨਤੀਜਿਆਂ ਦਾ ਸਾਰ ਦਿੱਤਾ ਗਿਆ ਹੈ। Ubuntu Desktop, Windows 11, Docker, Oracle VirtualBox, VMWare ਵਰਕਸਟੇਸ਼ਨ, Adobe Reader, Firefox, Chrome, Edge ਅਤੇ Tesla ਲਈ ਪਿਛਲੀਆਂ ਅਣਜਾਣ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਕੰਮ ਕਰਨ ਦੀਆਂ ਤਕਨੀਕਾਂ ਵਿਕਸਿਤ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। ਕੁੱਲ 23 ਸਫਲ ਹਮਲਿਆਂ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ ਗਿਆ, 29 ਪਹਿਲਾਂ ਅਣਜਾਣ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ।

ਹਮਲਿਆਂ ਵਿੱਚ ਸਾਰੇ ਉਪਲਬਧ ਅਪਡੇਟਾਂ ਅਤੇ ਡਿਫੌਲਟ ਕੌਂਫਿਗਰੇਸ਼ਨਾਂ ਦੇ ਨਾਲ ਐਪਲੀਕੇਸ਼ਨਾਂ, ਬ੍ਰਾਉਜ਼ਰਾਂ ਅਤੇ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ ਦੇ ਨਵੀਨਤਮ ਸਥਿਰ ਰੀਲੀਜ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ। ਭੁਗਤਾਨ ਕੀਤੇ ਗਏ ਮਿਹਨਤਾਨੇ ਦੀ ਕੁੱਲ ਰਕਮ USD 1,132,500 ਸੀ। ਟੇਸਲਾ ਨੂੰ ਹੈਕਿੰਗ ਕਰਨ ਲਈ, ਇੱਕ ਵਾਧੂ ਟੇਸਲਾ ਮਾਡਲ 3 ਦਿੱਤਾ ਗਿਆ ਸੀ। ਪਿਛਲੇ ਤਿੰਨ Pwn2Own ਮੁਕਾਬਲਿਆਂ ਲਈ ਭੁਗਤਾਨ ਕੀਤੇ ਗਏ ਇਨਾਮਾਂ ਦੀ ਰਕਮ $3,494,750 ਸੀ। ਸਭ ਤੋਂ ਵੱਧ ਅੰਕਾਂ ਵਾਲੀ ਟੀਮ ਨੇ $202 ਪ੍ਰਾਪਤ ਕੀਤੇ।

ਕੀਤੇ ਹਮਲੇ:

• ਉਬੰਟੂ ਡੈਸਕਟੌਪ 'ਤੇ ਚਾਰ ਸਫਲ ਹਮਲੇ, ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਨੂੰ ਰੂਟ ਅਧਿਕਾਰ (20 ਹਜ਼ਾਰ ਅਤੇ 10 ਹਜ਼ਾਰ ਡਾਲਰ ਦਾ ਇੱਕ ਪੁਰਸਕਾਰ, 5 ਹਜ਼ਾਰ ਡਾਲਰ ਦੇ ਦੋ ਪੁਰਸਕਾਰ) ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ। ਕਮਜ਼ੋਰੀਆਂ ਨਸਲ ਦੀਆਂ ਸਥਿਤੀਆਂ ਅਤੇ ਬਫਰ ਓਵਰਫਲੋ ਕਾਰਨ ਹੁੰਦੀਆਂ ਹਨ।
• ਫਾਇਰਫਾਕਸ 'ਤੇ ਹਮਲਾ ਜਿਸ ਨੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਪੰਨੇ (100 ਹਜ਼ਾਰ ਡਾਲਰ ਦਾ ਇਨਾਮ) ਖੋਲ੍ਹਣ ਵੇਲੇ ਸਿਸਟਮ ਵਿੱਚ ਸੈਂਡਬੌਕਸ ਆਈਸੋਲੇਸ਼ਨ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ ਅਤੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣਾ ਸੰਭਵ ਬਣਾਇਆ। ਕਮਜ਼ੋਰੀ ਇੱਕ ਗਲਤੀ ਕਾਰਨ ਹੁੰਦੀ ਹੈ ਜੋ ਇੱਕ JavaScript ਆਬਜੈਕਟ ਲਈ ਨਿਰਧਾਰਤ ਬਫਰ ਦੀ ਸੀਮਾ ਤੋਂ ਬਾਹਰ ਇੱਕ ਖੇਤਰ ਵਿੱਚ ਡੇਟਾ ਨੂੰ ਪੜ੍ਹਨ ਅਤੇ ਲਿਖਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਨਾਲ ਹੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ JavaScript ਵਸਤੂ ਵਿੱਚ ਇੱਕ ਇਵੈਂਟ ਹੈਂਡਲਰ ਨੂੰ ਬਦਲਣ ਦੀ ਸੰਭਾਵਨਾ ਹੈ। ਅੱਡੀ 'ਤੇ ਗਰਮ, ਮੋਜ਼ੀਲਾ ਦੇ ਡਿਵੈਲਪਰਾਂ ਨੇ ਤੁਰੰਤ ਫਾਇਰਫਾਕਸ 124.0.1 ਅੱਪਡੇਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ, ਪਛਾਣੀਆਂ ਗਈਆਂ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਖਤਮ ਕੀਤਾ।
• ਕ੍ਰੋਮ 'ਤੇ ਚਾਰ ਹਮਲੇ, ਜਿਨ੍ਹਾਂ ਨੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਪੰਨੇ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਸਿਸਟਮ ਵਿੱਚ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ (ਹਰੇਕ 85 ਅਤੇ 60 ਹਜ਼ਾਰ ਡਾਲਰ ਦਾ ਇੱਕ ਪੁਰਸਕਾਰ, 42.5 ਹਜ਼ਾਰ ਦੇ ਦੋ ਪੁਰਸਕਾਰ)। ਕਮਜ਼ੋਰੀਆਂ ਮੁਫਤ, ਆਊਟ-ਆਫ-ਬਫਰ ਰੀਡਜ਼, ਅਤੇ ਗਲਤ ਇਨਪੁਟ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਾਅਦ ਮੈਮੋਰੀ ਪਹੁੰਚ ਕਾਰਨ ਹੁੰਦੀਆਂ ਹਨ। ਤਿੰਨ ਕਾਰਨਾਮੇ ਸਰਵ ਵਿਆਪਕ ਹਨ ਅਤੇ ਨਾ ਸਿਰਫ਼ ਕ੍ਰੋਮ ਵਿੱਚ, ਸਗੋਂ ਕਿਨਾਰੇ ਵਿੱਚ ਵੀ ਕੰਮ ਕਰਦੇ ਹਨ।
• ਐਪਲ ਸਫਾਰੀ 'ਤੇ ਹਮਲਾ ਜਿਸ ਨੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਪੰਨੇ ($60 ਦਾ ਇਨਾਮ) ਖੋਲ੍ਹਣ ਵੇਲੇ ਸਿਸਟਮ ਵਿੱਚ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ। ਕਮਜ਼ੋਰੀ ਇੱਕ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ ਕਾਰਨ ਹੁੰਦੀ ਹੈ।
• ਓਰੇਕਲ ਵਰਚੁਅਲਬੌਕਸ ਦੇ ਚਾਰ ਹੈਕ ਜੋ ਤੁਹਾਨੂੰ ਗੈਸਟ ਸਿਸਟਮ ਤੋਂ ਬਾਹਰ ਨਿਕਲਣ ਅਤੇ ਹੋਸਟ ਸਾਈਡ 'ਤੇ ਕੋਡ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ (90 ਹਜ਼ਾਰ ਡਾਲਰ ਦਾ ਇੱਕ ਪੁਰਸਕਾਰ ਅਤੇ 20 ਹਜ਼ਾਰ ਡਾਲਰ ਦੇ ਤਿੰਨ ਪੁਰਸਕਾਰ)। ਇਹ ਹਮਲੇ ਬਫਰ ਓਵਰਫਲੋ, ਰੇਸ ਦੀਆਂ ਸਥਿਤੀਆਂ, ਅਤੇ ਮੁਫਤ ਤੋਂ ਬਾਅਦ ਮੈਮੋਰੀ ਐਕਸੈਸ ਕਾਰਨ ਹੋਣ ਵਾਲੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ ਕੀਤੇ ਗਏ ਸਨ।
• ਡੌਕਰ ਉੱਤੇ ਇੱਕ ਹਮਲਾ ਜਿਸ ਨੇ ਤੁਹਾਨੂੰ ਇੱਕ ਅਲੱਗ ਕੰਟੇਨਰ (60 ਹਜ਼ਾਰ ਡਾਲਰ ਦਾ ਇਨਾਮ) ਤੋਂ ਬਚਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ। ਕਮਜ਼ੋਰੀ ਮੁਫਤ ਦੇ ਬਾਅਦ ਇੱਕ ਮੈਮੋਰੀ ਪਹੁੰਚ ਕਾਰਨ ਹੁੰਦੀ ਹੈ।
• VMWare ਵਰਕਸਟੇਸ਼ਨ 'ਤੇ ਦੋ ਹਮਲੇ ਜੋ ਗੈਸਟ ਸਿਸਟਮ ਤੋਂ ਲੌਗ ਆਉਟ ਕਰਨ ਅਤੇ ਹੋਸਟ ਸਾਈਡ 'ਤੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ। ਹਮਲਿਆਂ ਵਿੱਚ ਮੁਫਤ ਤੋਂ ਬਾਅਦ ਇੱਕ ਮੈਮੋਰੀ ਪਹੁੰਚ, ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ, ਅਤੇ ਇੱਕ ਅਣ-ਸ਼ੁਰੂਆਤ ਵੇਰੀਏਬਲ ($30 ਅਤੇ $130 ਦੇ ਪ੍ਰੀਮੀਅਮ) ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ।
• ਮਾਈਕ੍ਰੋਸਾੱਫਟ ਵਿੰਡੋਜ਼ 11 'ਤੇ ਪੰਜ ਹਮਲੇ ਜਿਨ੍ਹਾਂ ਨੇ ਤੁਹਾਨੂੰ ਆਪਣੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਵਧਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ (15 ਹਜ਼ਾਰ ਡਾਲਰ ਦੇ ਤਿੰਨ ਬੋਨਸ, ਅਤੇ 30 ਹਜ਼ਾਰ ਅਤੇ 7500 ਡਾਲਰ ਹਰੇਕ ਦਾ ਇੱਕ ਬੋਨਸ)। ਕਮਜ਼ੋਰੀਆਂ ਨਸਲ ਦੀਆਂ ਸਥਿਤੀਆਂ, ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ, ਗਲਤ ਸੰਦਰਭ ਗਿਣਤੀ, ਅਤੇ ਗਲਤ ਇਨਪੁਟ ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਕਾਰਨ ਸਨ।
• Adobe Reader ($50 ਹਜ਼ਾਰ ਅਵਾਰਡ) ਵਿੱਚ ਸਮੱਗਰੀ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ। ਹਮਲੇ ਨੇ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜੋ API ਪਾਬੰਦੀਆਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਬੱਗ ਜੋ ਕਮਾਂਡ ਦੇ ਬਦਲ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।
• ਇੱਕ ਟੇਸਲਾ ਕਾਰ ਦੀ ਸੂਚਨਾ ਪ੍ਰਣਾਲੀ 'ਤੇ ਹਮਲਾ, CAN ਬੱਸ ਬੱਸ ਦੀ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ ਕੀਤਾ ਗਿਆ ਅਤੇ ਇੱਕ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ECU (ਇਲੈਕਟ੍ਰਾਨਿਕ ਕੰਟਰੋਲ ਯੂਨਿਟ) ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਪੁਰਸਕਾਰ ਦੀ ਰਕਮ 200 ਹਜ਼ਾਰ ਡਾਲਰ ਅਤੇ ਟੇਸਲਾ ਮਾਡਲ 3 ਕਾਰ ਹੈ।
• Microsoft SharePoint ਅਤੇ VMware ESXi ਨੂੰ ਹੈਕ ਕਰਨ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਅਸਫਲ ਰਹੀਆਂ।

ਸਮੱਸਿਆ ਦੇ ਸਹੀ ਭਾਗਾਂ ਦੀ ਅਜੇ ਤੱਕ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ; ਮੁਕਾਬਲੇ ਦੀਆਂ ਸ਼ਰਤਾਂ ਦੇ ਅਨੁਸਾਰ, ਸਾਰੀਆਂ ਪ੍ਰਦਰਸ਼ਿਤ 0-ਦਿਨ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਸਿਰਫ 90 ਦਿਨਾਂ ਬਾਅਦ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤੀ ਜਾਵੇਗੀ, ਜੋ ਨਿਰਮਾਤਾਵਾਂ ਨੂੰ ਅਪਡੇਟਸ ਤਿਆਰ ਕਰਨ ਲਈ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਜੋ ਸਮੱਸਿਆ ਨੂੰ ਖਤਮ ਕਰਦੇ ਹਨ. ਕਮਜ਼ੋਰੀਆਂ

ਸਰੋਤ: opennet.ru