Hasil tina tilu dinten kompetisi Pwn2Own 2021, diayakeun taunan salaku bagian tina konperénsi CanSecWest, parantos disimpulkeun. Sapertos taun ka tukang, kompetisi dilaksanakeun ampir sareng seranganna ditunjukkeun sacara online. Tina 23 target anu dituju, téknik damel pikeun ngeksploitasi kerentanan anu teu dipikanyaho sateuacana ditunjukkeun pikeun Desktop Ubuntu, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams sareng Zoom. Dina sagala hal, versi panganyarna tina program diuji, kaasup sagala apdet sadia. Jumlah total pangmayaran éta hiji juta dua ratus rébu dollar AS (total hadiah dana éta hiji satengah juta dollar).
Dina kompetisi, tilu usaha dilakukeun pikeun ngamangpaatkeun kerentanan dina Ubuntu Desktop. Usaha kahiji sareng kadua sah sareng panyerang tiasa nunjukkeun paningkatan hak istimewa lokal ku cara ngamangpaatkeun kerentanan anu teu dipikanyaho sateuacana anu aya hubunganana sareng buffer overflow sareng mémori bébas ganda (anu komponén masalahna henteu acan dilaporkeun; pamekar dibéré 90 dinten pikeun ngabenerkeun. kasalahan saméméh ngungkabkeun data). Bonus tina $ 30 dibayar pikeun kerentanan ieu.
Usaha katilu, anu dilakukeun ku tim sanés dina kategori panyalahgunaan hak husus lokal, ngan ukur sawaréh suksés - eksploitasi damel sareng ngamungkinkeun pikeun meunangkeun aksés root, tapi serangan éta henteu sapinuhna dikreditkeun, sabab kasalahan anu aya hubunganana sareng kerentanan parantos dipikanyaho. ka pamekar Ubuntu jeung apdet kalawan fix aya dina prosés persiapan.
Serangan anu suksés ogé ditingalikeun pikeun panyungsi dumasar kana mesin Chromium - Google Chrome sareng Microsoft Edge. Pikeun nyiptakeun eksploitasi anu ngamungkinkeun anjeun ngaéksekusi kode anjeun nalika muka halaman anu dirarancang khusus dina Chrome sareng Edge (hiji eksploitasi universal diciptakeun pikeun dua panyungsi), hadiah 100 rébu dolar dibayar. Perbaikan direncanakeun bakal diterbitkeun dina sababaraha jam anu bakal datang, sajauh ieu anu dipikanyaho nyaéta yén kerentanan aya dina prosés anu tanggung jawab pikeun ngolah eusi wéb (renderer).
Serangan suksés séjén:
- $ 200 rébu pikeun hacking aplikasi Zoom (janten ngalaksanakeun kode na ku ngirim pesen ka pangguna anu sanés, tanpa peryogi tindakan naon waé ti pihak anu nampi). Serangan éta ngagunakeun tilu kerentanan dina Zoom sareng hiji dina sistem operasi Windows.
- $ 200 rébu pikeun hacking Microsoft Exchange (bypassing auténtikasi sarta lokal escalating hak husus dina server pikeun meunangkeun hak administrator). Éksploitasi anu sanés anu suksés ditunjukkeun ka tim sanés, tapi hadiah kadua henteu dibayar, sabab kasalahan anu sami parantos dianggo ku tim kahiji.
- $ 200 rébu pikeun Hacking Microsoft Teams (executing kode dina server).
- $100 rébu pikeun ngamangpaatkeun Apple Safari (integer overflow dina Safari sareng buffer overflow dina macOS kernel pikeun ngaliwat sandbox sareng ngaéksekusi kode dina tingkat kernel).
- $ 140 sarébu pikeun Hacking Parallels Desktop (kaluar tina mesin virtual jeung executing kode dina sistem utama). Serangan éta dilaksanakeun ngaliwatan eksploitasi tilu kerentanan anu béda - bocor mémori anu teu dipikabutuh, tumpukan tumpukan sareng overflow integer.
- Dua panghargaan 40 rébu pérak unggal pikeun Hacking Parallels Desktop (kasalahan logis sareng panyangga mudal anu ngamungkinkeun kodeu dieksekusi dina OS éksternal ngaliwatan tindakan di jero mesin virtual).
- Tilu panghargaan 40 sarébu dolar pikeun tilu eksploitasi suksés Windows 10 (integer ngabahekeun, aksés ka mémori anu parantos dibébaskeun sareng kaayaan balapan anu ngamungkinkeun hak-hak SISTEM dimeunangkeun).
Usaha anu dilakukeun, tapi éta gagal, hack Oracle VirtualBox. Nominasi pikeun hacking Firefox, VMware ESXi, klien Hyper-V, MS Office 365, MS SharePoint, MS RDP jeung Adobe Reader tetep unclaimed. Teu aya ogé anu daék nunjukkeun hacking sistem inpormasi mobil Tesla, sanaos hadiah 600 rébu dolar ditambah mobil Tesla Model 3.
sumber: opennet.ru