Zaključeni so rezultati treh dni tekmovanja Pwn2Own Ireland 2026, kjer je bilo prikazanih 42 uspešnih napadov z uporabo prej neodkritih ranljivosti (0-day) na pametnih telefonih, napravah za pametni dom, tiskalnikih in AI orodjih. Pri izvedbi napadov so bile uporabljene najnovejše različice programske opreme in operacijskih sistemov z vsemi razpoložljivimi posodobitvami ter v privzeti konfiguraciji. Skupni nagradni sklad je znašal 1,33 milijona dolarjev.
Izvedeni napadi:
- Pametni telefon Samsung Galaxy S26: 6 uspešnih hekov. Izkazani nagrade $31250, $15750, $11000, $8500 in $6250.
- Pametni telefon Google Pixel 10: 1 uspešen hekerski napad. Izkazana nagrada 150 tisoč dolarjev.
- Naprav za domačo avtomatizacijo Home Assistant Green: 6 uspešnih hekov. Izkazani nagrade $30000, $12000, $7500, $7000, $4750 in $4500.
- Pametna svetilka Philips Hue Bridge Pro: 4 uspešni heki. Izkazane nagrade $40000, $12000, $6000 in $5000.
- Tunometer Garmin Index BPM: 2 uspešna heka z uporabo ranljivosti, povezanih z prelivom pomnilnika. Izkazane nagrade $20000 in $6750.
- Pametni zvočniki Sonos Era 300: 5 uspešnih hekov z uporabo ranljivosti, povezanih s prelivom pomnilnika in napakami pri formatiranju nizov. Izkazane nagrade $50000, $17500, $12500, $10500 in $9500.
- Tiskalnik Lexmark CX532adw: 5 uspešnih hekov z uporabo ranljivosti, povezanih z dostopom do pomnilnika po njegovi sprostitvi. Izkazane nagrade $20000, $10000, $5000, $5000 in $4250.
- Tiskalnik Canon imageFORCE 1643F: 1 uspešen hekerski napad z uporabo ranljivosti, povezanih z nezadostno avtentikacijo, vstavljanjem ukazov in predhodno določenimi poverjenkami v programski opremi. Izkazana nagrada $10000.
- Tiskalnik Brother MFC-L8970CDW: 1 uspešen hekerski napad. Izkazana nagrada
$20000. - AI prehod LiteLLM: 2 uspešna heka z uporabo ranljivosti, povezanih z nepravilno preverjanjem vhodnih podatkov in možnostjo vstavljanja kode. Izkazane nagrade $40000 in $15000.
- Sistem za avtomatizacijo upravljanja podatkovne baze Oracle Autonomous AI Database: 5 uspešnih hekov, povezanih z dostopom do pomnilnika po sprostitvi in napačno obdelavo tipov (Type Confusion). Izkazane nagrade $40000, $14000, $10000, $6250 in $6000.
- AI agent OpenAI Codex: 1 uspešen hekerski napad z uporabo ranljivosti, povezanih z vstavljanjem argumentov. Izkazana nagrada $40000.
- AI platforma Dynamo: 1 uspešen hekerski napad z uporabo ranljivosti, povezane s prelivom pomnilnika. Izkazana nagrada $40000.
- Vektorska podatkovna baza Chroma: 2 uspešna heka. Izkazane nagrade $12000 in $4500.
Poleg zgoraj omenjenih uspešnih napadov je 9 poskusov izkoriščanja ranljivosti končalo z neuspehom, pri čemer je bilo v vseh primerih to posledica, da ekipe niso uspele zaključiti napada v dodeljenem omejenem času.
Neuspešni so bili poskusi hekanja tiskalnikov Brother MFC-L8970CDW in
Lexmark CX532adwe, merilnika Garmin Index BPM, pametnega telefona Google Pixel 10, DB Chroma in sistema za avtomatizacijo doma Home Assistant Green.
Kje točno so težave, zaenkrat ni razkrito. V skladu s pravili tekmovanja bodo podrobne informacije o vseh prikazanih 0-day ranljivostih objavljene šele čez 90 dni, kar je obdobje, ki ga proizvajalci potrebujejo za pripravo posodobitev za odpravo ranljivosti.
Izvor: opennet.ru
