Resultaten av fyra dagar av tävlingen Pwn2Own Toronto 2022 har summerats, där 63 tidigare okända sårbarheter (0-dagar) i mobila enheter, skrivare, smarta högtalare, lagringssystem och routrar demonstrerades. Attackerna använde den senaste firmware och operativsystem med alla tillgängliga uppdateringar och i standardkonfigurationen. Det totala beloppet för avgifter som betalades var 934,750 XNUMX USD.
36 team och säkerhetsforskare deltog i tävlingen. Det mest framgångsrika DEVCORE-teamet lyckades tjäna 142 tusen dollar från tävlingen. Vinnarna på andra plats (Team Viettel) fick $82 tusen och vinnarna på tredje plats (NCC-gruppen) fick $78 tusen.
Under tävlingen demonstrerades attacker som ledde till fjärrkörning av kod på enheter:
- Canon imageCLASS MF743Cdw-skrivare (11 framgångsrika attacker, 5000 10000 $ och XNUMX XNUMX $ utmärkelser).
- Lexmark MC3224i-skrivare (8 attacker, bonusar på $7500, $10000 och $5000).
- HP Color LaserJet Pro M479fdw-skrivare (5 attacker, $5000, $10000 och $20000 priser).
- Smart högtalare Sonos One Speaker (3 attacker, premier $22500 60000 och $XNUMX XNUMX).
- Synology DiskStation DS920+ nätverkslagring (två attacker, 40000 20000 $ och XNUMX XNUMX $ premier).
- WD My Cloud Pro PR4100 Network Storage (3 priser på $20000 40000 och en utmärkelse på $XNUMX XNUMX).
- Synology RT6600ax-router (5 attacker via WAN med $20000 5000 bonusar och två bonusar på $1250 XNUMX och $XNUMX XNUMX för attacker via LAN).
- Cisco Integrated Service Router C921-4P ($37500 XNUMX).
- Mikrotik RouterBoard RB2011UiAS-IN-router (100,000 XNUMX $ utmärkelse för hackning i flera steg - först attackerades Mikrotik-routern och sedan, efter att ha fått tillgång till LAN, en Canon-skrivare).
- NETGEAR RAX30 AX2400 Router (7 attacker, $1250, $2500, $5000, $7500, $8500 och $10000 premier).
- TP-Link AX1800/Archer AX21-router (WAN-attack, $20000 5000 premium och LAN-attack, $XNUMX premium).
- Ubiquiti EdgeRouter X SFP-router ($50000 XNUMX).
- Samsung Galaxy S22-smarttelefon (4 attacker, tre utmärkelser på $25000 50000 och en utmärkelse på $XNUMX XNUMX).
Utöver de framgångsrika attackerna som noterats ovan, slutade 11 försök att utnyttja sårbarheter i misslyckande. Vid tävlingen föreslogs det också att hacka Apple iPhone 13 och Google Pixel 6, men inga ansökningar mottogs för att utföra attacker, även om den maximala belöningen för att förbereda en exploit som tillåter exekvering av kod på kärnnivå för dessa enheter var $250,000 15 . Förslag om att hacka hemautomationssystem Amazon Echo Show 60,000, Meta Portal Go och Google Nest Hub Max, samt smarta högtalare Apple HomePod Mini, Amazon Echo Studio och Google Nest Audio, vars pris för hackning var $XNUMX XNUMX, förblev också outtagna.
Vilka specifika komponenter i problemet har ännu inte rapporterats; i enlighet med tävlingsvillkoren kommer detaljerad information om alla påvisade 0-dagars sårbarheter att publiceras först efter 120 dagar, som ges till tillverkarna för att förbereda uppdateringar som eliminerar sårbarheter.
Källa: opennet.ru