Üç gün süren Pwn2Own Ireland 2026 yarışmasının sonuçları açıklandı. Akıllı telefonlarda, akıllı ev cihazlarında, yazıcılarda ve yapay zeka araçlarında daha önce bilinmeyen sıfır gün güvenlik açıklarından yararlanılarak 42 başarılı saldırı gerçekleştirildi. Saldırılarda, mevcut tüm güncellemeler ve varsayılan yapılandırmalarla birlikte en yeni ürün yazılımı ve işletim sistemleri kullanıldı. Ödül havuzu toplam 1.33 milyon dolara ulaştı.
Gerçekleştirilen saldırılar:
- Samsung Galaxy S26 akıllı telefon: 6 başarılı hack girişimi. Ödenen ödüller: 31250$, 15750$, 11000$, 8500$ ve 6250$.
- Google Pixel 10 akıllı telefon: 1 başarılı hack girişimi. 150 dolar ödül ödendi.
- Home Assistant Yeşil ev otomasyon cihazı: 6 başarılı hack. Ödenen ödüller: 30000$, 12000$, 7500$, 7000$, 4750$ ve 4500$.
- Philips Hue Bridge Pro akıllı ışık: 4 başarılı hack. Ödenen ödüller: 40000$, 12000$, 6000$ ve 5000$.
- Garmin Index BPM tansiyon ölçüm cihazı: Tampon taşması güvenlik açıklarından yararlanan iki başarılı saldırı. 20000 ve 6750 dolarlık ödüller ödendi.
- Sonos Era 300 akıllı hoparlörler: Tampon taşması ve dize biçimlendirme güvenlik açıklarından yararlanan 5 başarılı saldırı. 50000$, 17500$, 12500$, 10500$ ve 9500$ tutarında ödüller verildi.
- Lexmark CX532adw yazıcı: Bellek kullanımı sonrası serbest bırakma güvenlik açıklarından yararlanan 5 başarılı saldırı. Verilen ödüller: 20000$, 10000$, 5000$, 5000$ ve 4250$.
- Canon imageFORCE 1643F yazıcı: Uygun kimlik doğrulama eksikliği, komut değiştirme ve önceden tanımlanmış ürün yazılımı kimlik bilgileriyle ilgili güvenlik açıklarından yararlanılarak 1 başarılı saldırı gerçekleştirildi. 10000 dolar ödül ödendi.
- Brother MFC-L8970CDW Yazıcı: 1 başarılı hack işlemi gerçekleştirildi. Ödül ödendi.
$ 20000. - LiteLLM yapay zeka ağ geçidi: Yanlış girdi doğrulama ve kod değiştirme ile ilgili güvenlik açıklarından yararlanan 2 başarılı saldırı. 40000 ve 15000 dolar ödeme yapıldı.
- Oracle Otonom Yapay Zeka Veritabanı: Kullanım sonrası serbest bırakma ve tür karışıklığı içeren 5 başarılı saldırı. Verilen ödüller: 40000$, 14000$, 10000$, 6250$ ve 6000$.
- OpenAI Codex yapay zeka ajanı: Argüman değiştirme güvenlik açıkları kullanılarak 1 başarılı saldırı gerçekleştirildi. 40000 dolar ödeme yapıldı.
- Dynamo AI platformu: Tampon taşması güvenlik açığı kullanılarak 1 başarılı saldırı gerçekleştirildi. 40000 dolar ödeme yapıldı.
- Chroma vektör tabanlı veritabanı yönetim sistemi: 2 başarılı saldırı. 12000 dolar ve 4500 dolar ödeme yapıldı.
Yukarıda belirtilen başarılı saldırılara ek olarak, güvenlik açıklarından yararlanmaya yönelik dokuz girişim başarısızlıkla sonuçlandı; tüm vakalarda başarısızlık nedeni ekiplerin saldırıyı zaman sınırı içinde tamamlayamamasıydı.
Brother MFC-L8970CDW yazıcılarına yönelik siber saldırı girişimleri başarısızlıkla sonuçlandı ve
Lexmark CX532adwe, Garmin Index BPM tansiyon ölçme cihazı, Google Pixel 10 akıllı telefon, Chroma veritabanı ve Home Assistant Green ev otomasyon sistemi.
Sorunun belirli bileşenleri henüz bildirilmemiştir. Yarışma şartları uyarınca, gösterilen tüm 0 günlük güvenlik açıklarına ilişkin ayrıntılı bilgiler, yalnızca 90 gün sonra yayınlanacak ve üreticilere, güvenlik açıklarını ortadan kaldıran güncellemeler hazırlamaları için verilecek.
Kaynak: opennet.ru
