CanSecWest மாநாட்டின் ஒரு பகுதியாக ஆண்டுதோறும் நடைபெறும் Pwn2Own 2020 போட்டிகளின் இரண்டு நாட்கள் முடிவுகள். இந்த ஆண்டு போட்டி கிட்டத்தட்ட நடத்தப்பட்டது மற்றும் தாக்குதல்கள் ஆன்லைனில் நிரூபிக்கப்பட்டன. Ubuntu Desktop (Linux kernel), Windows, macOS, Safari, VirtualBox மற்றும் Adobe Reader ஆகியவற்றில் முன்னர் அறியப்படாத பாதிப்புகளைப் பயன்படுத்துவதற்கான வேலை நுட்பங்களை இந்தப் போட்டி வழங்கியது. செலுத்தப்பட்ட மொத்த தொகை 270 ஆயிரம் டாலர்கள் (மொத்த பரிசு நிதி 4 மில்லியன் அமெரிக்க டாலர்களுக்கு மேல்).
- உள்ளீட்டு மதிப்புகளின் தவறான சரிபார்ப்புடன் தொடர்புடைய லினக்ஸ் கர்னலில் உள்ள பாதிப்பைப் பயன்படுத்தி உபுண்டு டெஸ்க்டாப்பில் உள்ள சிறப்புரிமைகளின் உள்ளூர் அதிகரிப்பு (பரிசு $30);
- VirtualBox இல் விருந்தினர் சூழலில் இருந்து வெளியேறுதல் மற்றும் ஹைப்பர்வைசர் உரிமைகளுடன் குறியீட்டை செயல்படுத்துதல், இரண்டு பாதிப்புகளைப் பயன்படுத்துதல் - ஒதுக்கப்பட்ட இடையகத்திற்கு வெளியே உள்ள ஒரு பகுதியிலிருந்து தரவைப் படிக்கும் திறன் மற்றும் தொடங்கப்படாத மாறிகளுடன் பணிபுரியும் போது ஒரு பிழை (40 ஆயிரம் டாலர்கள் பரிசு). போட்டிக்கு வெளியே, ஜீரோ டே முன்முயற்சியின் பிரதிநிதிகள் மற்றொரு விர்ச்சுவல்பாக்ஸ் ஹேக்கைக் காட்டினர், இது விருந்தினர் சூழலில் கையாளுதல்கள் மூலம் ஹோஸ்ட் சிஸ்டத்தை அணுக அனுமதிக்கிறது;
- MacOS கர்னல் நிலைக்கு உயர்த்தப்பட்ட சலுகைகளுடன் Safari ஐ ஹேக்கிங் செய்து, கால்குலேட்டரை ரூட்டாக இயக்குகிறது. சுரண்டலுக்கு, 6 பிழைகளின் சங்கிலி பயன்படுத்தப்பட்டது (பரிசு 70 ஆயிரம் டாலர்கள்);
- ஏற்கனவே விடுவிக்கப்பட்ட நினைவகப் பகுதிக்கு (ஒவ்வொன்றும் இரண்டு பரிசுகள் 40 ஆயிரம் டாலர்கள்) அணுகுவதற்கு வழிவகுக்கும் பாதிப்புகளை சுரண்டுவதன் மூலம் விண்டோஸில் உள்ளூர் சிறப்புரிமை அதிகரிப்பதற்கான இரண்டு ஆர்ப்பாட்டங்கள்;
- அடோப் ரீடரில் சிறப்பாக வடிவமைக்கப்பட்ட PDF ஆவணத்தைத் திறக்கும்போது Windows இல் நிர்வாகி அணுகலைப் பெறுதல். இந்த தாக்குதலில் அக்ரோபேட் மற்றும் ஏற்கனவே விடுவிக்கப்பட்ட நினைவக பகுதிகளை அணுகுவது தொடர்பான விண்டோஸ் கர்னலில் உள்ள பாதிப்புகள் அடங்கும் (பரிசு $50).
குரோம், பயர்பாக்ஸ், எட்ஜ், மைக்ரோசாஃப்ட் ஹைப்பர்-வி கிளையண்ட், மைக்ரோசாஃப்ட் ஆபிஸ் மற்றும் மைக்ரோசாப்ட் விண்டோஸ் ஆர்டிபி ஆகியவற்றை ஹேக்கிங் செய்வதற்கான பரிந்துரைகள் கோரப்படாமல் இருந்தன. VMware பணிநிலையத்தை ஹேக் செய்ய முயற்சி மேற்கொள்ளப்பட்டது, ஆனால் அது தோல்வியடைந்தது.
கடந்த ஆண்டைப் போலவே, பரிசு வகைகளில் பெரும்பாலான திறந்த மூல திட்டங்களின் (nginx, OpenSSL, Apache httpd) ஹேக்குகள் சேர்க்கப்படவில்லை.
தனித்தனியாக, டெஸ்லா காரின் தகவல் அமைப்புகளை ஹேக் செய்யும் தலைப்பை நாம் கவனிக்கலாம். போட்டியில் டெஸ்லாவை ஹேக் செய்வதற்கான முயற்சிகள் எதுவும் இல்லை, அதிகபட்ச பரிசு $700 ஆயிரம் இருந்தபோதிலும், ஆனால் தனித்தனியாக டெஸ்லா மாடல் 2020 இல் DoS பாதிப்பை (CVE-10558-3) கண்டறிவது பற்றி, உள்ளமைக்கப்பட்ட உலாவியில் சிறப்பாக வடிவமைக்கப்பட்ட பக்கத்தைத் திறக்கும்போது, தன்னியக்க பைலட்டிலிருந்து அறிவிப்புகளை முடக்கவும் மற்றும் கூறுகளின் செயல்பாட்டை சீர்குலைக்கவும் அனுமதிக்கிறது. வேகமானி, உலாவி, ஏர் கண்டிஷனிங், வழிசெலுத்தல் அமைப்பு போன்றவை.
ஆதாரம்: opennet.ru