Súhrn troch dní súťaže Pwn2Own Ireland 2026, na ktorej bolo predvedených 42 úspešných útokov využívajúcich predtým neznáme zraniteľnosti (0-day) na smartfónoch, zariadeniach pre inteligentné domácnosti, tlačiarňach a AI nástrojoch. Pri útokoch boli použité najnovšie firmváre a operačné systémy so všetkými dostupnými aktualizáciami a v predvolenej konfigurácii. Prémie dosiahli 1,33 milióna dolárov.
Zrealizované útoky:
- Smartfón Samsung Galaxy S26: 6 úspešných hackov. Vyplatené prémie $31250, $15750, $11000, $8500 a $6250.
- Smartfón Google Pixel 10: 1 úspešný hack. Vyplatená prémia 150 tisíc dolárov.
- Zariadenie domácej automatizácie Home Assistant Green: 6 úspešných hackov. Vyplatené prémie $30000, $12000, $7500, $7000, $4750 a $4500.
- Inteligentné svetlo Philips Hue Bridge Pro: 4 úspešné hacky. Vyplatené prémie $40000, $12000, $6000 a $5000.
- Tonometer Garmin Index BPM: 2 úspešné hacky využívajúce zraniteľnosti súvisiace s pretečením zásobníka. Vyplatené prémie $20000 a $6750.
- Inteligentné reproduktory Sonos Era 300: 5 úspešných hackov využívajúcich zraniteľnosti súvisiace s pretečením zásobníka a chybou formátovania reťazca. Vyplatené prémie $50000, $17500, $12500, $10500 a $9500.
- Tlačiareň Lexmark CX532adw: 5 úspešných hackov využívajúcich zraniteľnosti súvisiace s prístupom k pamäti po jej uvoľnení. Vyplatené prémie $20000, $10000, $5000, $5000 a $4250.
- Tlačiareň Canon imageFORCE 1643F: 1 úspešný hack využívajúci zraniteľnosti spojené s nedostatočnou autentifikáciou, substitúciou príkazov a preddefinovanými prihlasovacími údajmi v firmvéri. Vyplatená prémia $10000.
- Tlačiareň Brother MFC-L8970CDW: 1 úspešný hack. Vyplatená prémia
$20000. - AI-gateway LiteLLM: 2 úspešné hacky využívajúce zraniteľnosti týkajúce sa nesprávneho overovania vstupných údajov a možnosti substitúcie kódu. Vyplatené $40000 a $15000.
- Systém automatizácie správy DB Oracle Autonomous AI Database: 5 úspešných hackov spojených s prístupom k pamäti po uvoľnení a nesprávnym spracovaním typov (Type Confusion). Vyplatené prémie $40000, $14000, $10000, $6250 a $6000.
- AI-agent OpenAI Codex: 1 úspešný hack vyžívajúci zraniteľnosti súvisiace so substitúciou argumentu. Vyplatené $40000.
- AI-platforma Dynamo: 1 úspešný hack využívajúci zraniteľnosť spojenú s pretečením zásobníka. Vyplatené $40000.
- Vektorová databáza Chroma: 2 úspešné hacky. Vyplatené $12000 a $4500.
Okrem vyššie uvedených úspešných útokov, 9 pokusov o zneužitie zraniteľností skončilo neúspešne, vo všetkých prípadoch kvôli tomu, že tímy nestihli splniť pridelený čas na útok.
Neúspešné boli pokusy o hackovanie tlačiarní Brother MFC-L8970CDW a
Lexmark CX532adwe, tonometra Garmin Index BPM, smartfónu Google Pixel 10, DB Chroma a systému automatizácie domácnosti Home Assistant Green.
O ktoré konkrétne komponenty ide, zatiaľ nebolo oznámené. V súlade s podmienkami súťaže budú podrobné informácie o všetkých predvedených 0-day zraniteľnostiach zverejnené až po 90 dňoch, ktoré sú poskytnuté výrobcom na prípravu aktualizácií na odstránenie zraniteľností.
Zdroj: opennet.ru
