CanSecWest konferansı kapsamında her yıl düzenlenen Pwn2Own 2022 yarışmasının üç günlük sonuçları özetlendi. Ubuntu Masaüstü, Virtualbox, Safari, Windows 11, Microsoft Teams ve Firefox için önceden bilinmeyen güvenlik açıklarından yararlanmaya yönelik çalışma teknikleri gösterilmiştir. Toplamda 25 başarılı saldırı gösterildi ve üç deneme başarısızlıkla sonuçlandı. Saldırılarda, mevcut tüm güncellemeler ve varsayılan yapılandırmalarla birlikte uygulamaların, tarayıcıların ve işletim sistemlerinin en son kararlı sürümleri kullanıldı. Ödenen toplam ücret tutarı 1,155,000 ABD Doları oldu.
Yarışmada, farklı katılımcı ekipleri tarafından Ubuntu Masaüstü'ndeki önceden bilinmeyen güvenlik açıklarından yararlanmaya yönelik beş başarılı girişim sergilendi. İki arabellek taşması ve çift serbest sorundan yararlanılarak Ubuntu Masaüstünde yerel ayrıcalık artışını gösteren 40 ABD doları değerinde bir ödül ödendi. Her biri 40 ABD Doları değerinde olan dört ödül, Serbest Bıraktıktan Sonra Kullan güvenlik açıklarından yararlanılarak ayrıcalık artırımının gösterilmesi nedeniyle verildi.
Sorunun kesin bileşenleri henüz bildirilmedi; yarışma şartlarına uygun olarak, gösterilen tüm 0 günlük güvenlik açıklarına ilişkin ayrıntılı bilgiler yalnızca 90 gün sonra yayınlanacak ve üreticilere, sorunu ortadan kaldıracak güncellemeler hazırlamaları için üreticilere verilecek. güvenlik açıkları.
Diğer başarılı saldırılar:
- Özel olarak tasarlanmış bir sayfayı açarken sanal alan izolasyonunu atlayıp sistemde kod yürütmeye izin veren Firefox için bir istismarın geliştirilmesi için 100 bin dolar.
- Bir misafirin oturumunu kapatmak için Oracle Virtualbox'ta arabellek taşmasını kullanan bir istismarın gösterilmesi için 40 ABD doları.
- Apple Safari'yi çalıştırmak için 50 bin dolar (arabellek taşması).
- Microsoft Teams'i hacklemek için 450 bin dolar (farklı ekipler, her biri 150 bin ödülle üç hack gösterdi).
- Arabellek taşmalarından faydalanmak ve Microsoft Windows 80'de ayrıcalıkları artırmak için 40 bin dolar (her biri 11 bin değerinde iki ödül).
- Microsoft Windows 80'deki ayrıcalıkları artırmak amacıyla erişim doğrulama kodundaki bir hatadan yararlananlara 40 bin dolar (her biri 11 bin değerinde iki ödül).
- Microsoft Windows 40'de ayrıcalıkları artırmak amacıyla tamsayı taşmasından faydalanmak için 11 bin ABD doları.
- Microsoft Windows 40'deki Ücretsiz Kullanım Sonrası güvenlik açığından yararlanıldığı için 11 bin dolar.
- Telsa Model 75'ün bilgi-eğlence sistemine yapılan saldırıyı gösterdiği için 3 bin dolar. Bu istismarda, arabellek taşmalarına ve çift serbest bırakmalara yol açan hataların yanı sıra, korumalı alan izolasyonunu aşmak için önceden bilinen bir teknik kullanıldı.
Microsoft Windows 11'i (6 başarılı hack ve 1 başarısız), Tesla'yı (1 başarılı hack ve 1 başarısız) ve Microsoft Teams'i (3 başarılı hack ve 1 başarısız) hacklemek için ayrı girişimlerde bulunuldu ancak başarısız oldu. Bu yıl Google Chrome'da açıklardan yararlanıldığını gösteren herhangi bir talep olmadı.
Kaynak: opennet.ru