Objavljeni so bili rezultati tridnevnega tekmovanja Pwn2Own Ireland 2026. Izvedenih je bilo 42 uspešnih napadov z uporabo prej neznanih ranljivosti ničelnega dne v pametnih telefonih, pametnih domačih napravah, tiskalnikih in orodjih umetne inteligence. Napadi so uporabili najnovejšo vdelano programsko opremo in operacijske sisteme z vsemi razpoložljivimi posodobitvami in privzetimi konfiguracijami. Nagradni sklad je znašal 1.33 milijona dolarjev.
Izvedeni napadi:
- Pametni telefon Samsung Galaxy S26: 6 uspešnih vdorov. Izplačane nagrade: 31250 $, 15750 $, 11000 $, 8500 $ in 6250 $.
- Pametni telefon Google Pixel 10: 1 uspešen vdor. Izplačana nagrada v višini 150 dolarjev.
- Domači asistent Zelena naprava za avtomatizacijo doma: 6 uspešnih vdorov. Izplačane nagrade: 30000 $, 12000 $, 7500 $, 7000 $, 4750 $ in 4500 $.
- Pametna luč Philips Hue Bridge Pro: 4 uspešni triki. Izplačane nagrade: 40000 $, 12000 $, 6000 $ in 5000 $.
- Merilnik krvnega tlaka Garmin Index BPM: dva uspešna vdora, ki izkoriščata ranljivosti prelivanja medpomnilnika. Izplačani sta bili nagradi v višini 20000 in 6750 dolarjev.
- Pametni zvočniki Sonos Era 300: 5 uspešnih vdorov, ki izkoriščajo ranljivosti prelivanja medpomnilnika in oblikovanja nizov. Podeljene so bile nagrade v višini 50000 $, 17500 $, 12500 $, 10500 $ in 9500 $.
- Tiskalnik Lexmark CX532adw: 5 uspešnih vdorov, ki izkoriščajo ranljivosti uporabe pomnilnika po sprostitvi. Dodeljene nagrade: 20000 $, 10000 $, 5000 $, 5000 $ in 4250 $.
- Tiskalnik Canon imageFORCE 1643F: 1 uspešen vdor z uporabo ranljivosti, povezanih s pomanjkanjem ustrezne avtentikacije, zamenjavo ukazov in vnaprej določenimi poverilnicami vdelane programske opreme. Izplačana nagrada v višini 10000 USD.
- Tiskalnik Brother MFC-L8970CDW: 1 uspešen vdor. Nagrada izplačana.
$ 20000. - Vhod za umetno inteligenco LiteLLM: 2 uspešna vdora, ki izkoriščata ranljivosti, povezane z nepravilnim preverjanjem vnosa in zamenjavo kode. Izplačanih 40000 $ in 15000 $.
- Oracle Autonomous AI Database: 5 uspešnih izkoriščanj, ki vključujejo uporabo po sprostitvi in zmedo tipov. Dodeljene nagrade: 40000 $, 14000 $, 10000 $, 6250 $ in 6000 $.
- Agent umetne inteligence OpenAI Codex: 1 uspešen vdor z uporabo ranljivosti za zamenjavo argumentov. Plačanih 40000 $.
- Platforma Dynamo AI: 1 uspešen vdor z uporabo ranljivosti prelivanja medpomnilnika. Plačanih 40000 $.
- Chroma vector DBMS: 2 uspešna heka. Plačano 12000 $ in 4500 $.
Poleg zgoraj omenjenih uspešnih napadov je devet poskusov izkoriščanja ranljivosti propadlo, v vseh primerih zato, ker ekipam ni uspelo dokončati napada v predpisanem času.
Poskusi vdora v tiskalnike Brother MFC-L8970CDW so bili neuspešni in
Lexmark CX532adwe, merilnik krvnega tlaka Garmin Index BPM, pametni telefon Google Pixel 10, podatkovna baza Chroma in sistem za avtomatizacijo doma Home Assistant Green.
O posebnih komponentah problema še niso poročali. V skladu s pogoji natečaja bodo podrobne informacije o vseh prikazanih 0-dnevnih ranljivostih objavljene šele po 90 dneh, ki so dani proizvajalcem za pripravo posodobitev, ki odpravljajo ranljivosti.
Vir: opennet.ru
