Pwn2Own 2021 tanlovida xakerlik hujumlari haqida xabar berilgan. Ubuntu, Chrome, Safari, Parallels va Microsoft mahsulotlari

Har yili CanSecWest konferensiyasi doirasida o'tkaziladigan uch kunlik Pwn2Own 2021 tanlovi natijalari e'lon qilindi. O'tgan yilgi kabi, tanlov virtual tarzda o'tkazildi va hujumlar onlayn tarzda namoyish etildi. 23 ta belgilangan nishon uchun ilgari noma'lum bo'lgan zaifliklardan foydalanishning ish usullari namoyish etildi. Ubuntu Ish stoli, Windows 10, Chrome, Safari, Parallels Desktop, Microsoft Exchange, Microsoft Teams va Zoom. Barcha holatlarda, dasturlarning eng so'nggi versiyalari, jumladan, barcha mavjud yangilanishlar sinovdan o'tkazildi. Umumiy to'lov bir million ikki yuz ming AQSh dollarini tashkil etdi (umumiy sovrin jamg'armasi bir yarim million dollarni tashkil etdi).

Musobaqa davomida zaifliklardan foydalanishga uchta urinish amalga oshirildi. Ubuntu Ish stoli. Birinchi va ikkinchi urinishlar muvaffaqiyatli bo'ldi va hujumchilar buferning toshib ketishi va ikki marta bo'shatish bilan bog'liq ilgari noma'lum bo'lgan zaifliklardan foydalanish orqali mahalliy imtiyozlarning kengayishini namoyish etdilar (muammolardan ta'sirlangan aniq komponentlar hali oshkor qilinmagan; ishlab chiquvchilar tafsilotlarni oshkor qilishdan oldin xatolarni tuzatish uchun 90 kunga ega). Ushbu zaifliklar uchun 30 000 dollar miqdorida mukofot to'landi.

Mahalliy imtiyozlarni oshirish toifasidagi boshqa bir jamoaning uchinchi urinishi faqat qisman muvaffaqiyatli bo'ldi - ekspluatatsiya ishladi va rootga kirishga imkon berdi, ammo hujum to'liq hisobga olinmadi, chunki zaiflik bilan bog'liq xato ishlab chiquvchilarga allaqachon ma'lum edi. Ubuntu va tuzatish bilan yangilanish tayyorlanayotgan edi.

Chromium asosidagi brauzerlar — Google Chrome va Microsoft Edge uchun ham muvaffaqiyatli hujum namoyish etildi. Chrome va Edge’da maxsus yaratilgan sahifa ochilganda kodni bajaradigan eksploit yaratish uchun 100 000 dollar mukofot to‘landi (ikkala brauzer uchun ham bitta eksploit yaratildi). Yaqin soatlarda patch nashr etilishi rejalashtirilgan; hozircha ma'lum bo'lgan yagona narsa shundaki, zaiflik veb-kontentni qayta ishlash uchun mas'ul bo'lgan jarayonda (renderer) mavjud.

Boshqa muvaffaqiyatli hujumlar:

• Zoom ilovasini buzib kirish uchun 200 000 dollar (tajovuzkor qabul qiluvchidan hech qanday harakat talab qilmasdan, boshqa foydalanuvchiga xabar yuborish orqali o'z kodini bajarishga muvaffaq bo'ldi). Hujum Zoom'dagi uchta va operatsion tizimdagi bitta zaiflikdan foydalangan. Windows.
• Microsoft Exchange’ni buzib kirish uchun 200 000 dollar (autentifikatsiya va mahalliy imtiyozlarni oshirishni chetlab o‘tish) server (administrator huquqlarini olish uchun). Boshqa bir jamoa yana bir muvaffaqiyatli ishlayotgan ekspluatatsiyani namoyish etdi, ammo ikkinchi sovrin to'lanmadi, chunki xuddi shu xatolar birinchi jamoa tomonidan allaqachon ishlatilgan edi.
• Microsoft Teams’ni buzib kirish uchun 200 000 dollar (kodni bajarish) server).
• Apple Safari’dan foydalanganlik uchun $100 (Safari’da butun sonning toshib ketishi va yadro buferining toshib ketishi) macOS sinov muhitini chetlab o'tish va kodni yadro darajasida bajarish uchun).
• Parallels Desktop’ni buzib kirish uchun 140 000 dollar (virtual mashinadan qochib, xost tizimida kodni bajarish). Hujum uchta turli zaiflikdan foydalangan: boshlanmagan xotira oqishi, stekning toshib ketishi va butun sonning toshib ketishi.
• Parallels Desktop xakerlik hujumlari uchun ikkita 40 000 dollarlik bonus (mantiqiy xato va buferning toshib ketishi uchinchi tomon operatsion tizimida virtual mashina ichidagi harakatlar orqali kodni bajarishga imkon berdi).
• Uchta muvaffaqiyatli ekspluatatsiya uchun 40 ming dollardan uchta mukofot Windows 10 (butun sonning toshib ketishi, bo'shatilgan xotiraga kirish va SYSTEM imtiyozlarini olish imkonini beruvchi poyga holati).

Oracle VirtualBox’ni buzib kirishga urinishlar bo‘ldi, ammo muvaffaqiyatsiz yakunlandi. Firefox, VMware ESXi, Hyper-V client, MS Office 365, MS SharePoint, MS RDP va Adobe Reader’ni buzib kirish uchun nomzodlar da’vo qilinmaganligicha qoldi. 600 000 dollarlik mukofot va Tesla Model 3’ga qaramay, hech kim Tesla’ning axborot tizimini buzib kirishni namoyish etishga ko‘ngilli bo‘lib kelmadi.

Manba: opennet.ru