Foram concluídos os três dias de competições do Pwn2Own Ireland 2026, onde foram demonstrados 42 ataques bem-sucedidos utilizando vulnerabilidades desconhecidas (0-day) em smartphones, dispositivos de casa inteligente, impressoras e ferramentas de IA. Durante os ataques, foram usados os firmwares e sistemas operacionais mais recentes com todas as atualizações disponíveis e na configuração padrão. O prêmio total foi de 1,33 milhão de dólares.
Ataques realizados:
- Smartphone Samsung Galaxy S26: 6 invasões bem-sucedidas. Prêmios pagos de $31250, $15750, $11000, $8500 e $6250.
- Smartphone Google Pixel 10: 1 invasão bem-sucedida. Prêmio pago de 150 mil dólares.
- Dispositivo de automação doméstica Home Assistant Green: 6 invasões bem-sucedidas. Prêmios pagos de $30000, $12000, $7500, $7000, $4750 e $4500.
- Luz inteligente Philips Hue Bridge Pro: 4 invasões bem-sucedidas. Prêmios pagos de $40000, $12000, $6000 e $5000.
- Esfigmomanômetro Garmin Index BPM: 2 invasões bem-sucedidas utilizando vulnerabilidades relacionadas a overflow de buffer. Prêmios pagos de $20000 e $6750.
- Caixas de som inteligentes Sonos Era 300: 5 invasões bem-sucedidas utilizando vulnerabilidades relacionadas a overflow de buffer e erro de formatação de strings. Prêmios pagos de $50000, $17500, $12500, $10500 e $9500.
- Impressora Lexmark CX532adw: 5 invasões bem-sucedidas utilizando vulnerabilidades relacionadas ao acesso à memória após a liberação. Prêmios pagos de $20000, $10000, $5000, $5000 e $4250.
- Impressora Canon imageFORCE 1643F: 1 invasão bem-sucedida utilizando vulnerabilidades relacionadas à falta de autenticação adequada, injeção de comandos e credenciais pré-definidas no firmware. Prêmio pago de $10000.
- Impressora Brother MFC-L8970CDW: 1 invasão bem-sucedida. Prêmio pago de
$20000. - Gateway de IA LiteLLM: 2 invasões bem-sucedidas utilizando vulnerabilidades relacionadas à verificação inadequada de dados de entrada e capacidade de injeção de código. Prêmios pagos de $40000 e $15000.
- Sistema de automação de banco de dados Oracle Autonomous AI Database: 5 invasões bem-sucedidas, relacionadas ao acesso à memória após a liberação e tratamento incorreto de tipos (Type Confusion). Prêmios pagos de $40000, $14000, $10000, $6250 e $6000.
- Agente de IA OpenAI Codex: 1 invasão bem-sucedida utilizando vulnerabilidades relacionadas à injeção de argumentos. Prêmio pago de $40000.
- Plataforma de IA Dynamo: 1 invasão bem-sucedida utilizando vulnerabilidade relacionada ao overflow de buffer. Prêmio pago de $40000.
- Banco de dados vetorial Chroma: 2 invasões bem-sucedidas. Prêmios pagos de $12000 e $4500.
Além dos ataques bem-sucedidos mencionados, 9 tentativas de exploração de vulnerabilidades falharam, em todos os casos porque as equipes não conseguiram concluir o ataque no tempo limitado disponível.
As tentativas de invasão das impressoras Brother MFC-L8970CDW e
Lexmark CX532adwe, do tensiômetro Garmin Index BPM, do smartphone Google Pixel 10, do banco de dados Chroma e do sistema de automação residencial Home Assistant Green, foram malsucedidas.
Não foi informado quais componentes específicos estão enfrentando problemas. De acordo com as regras do concurso, informações detalhadas sobre todas as vulnerabilidades 0-day demonstradas serão publicadas apenas após 90 dias, tempo concedido aos fabricantes para prepararem atualizações corrigindo as vulnerabilidades.
Fonte: opennet.ru
