Pwn2Own 2020 為期兩天的比賽結果，每年作為 CanSecWest 會議的一部分舉行。 今年的比賽以虛擬方式舉行，攻擊過程在網路上進行演示。 該競賽展示了利用 Ubuntu Desktop（Linux 核心）、Windows、macOS、Safari、VirtualBox 和 Adobe Reader 中以前未知的漏洞的工作技術。 獎金總額270萬美元（獎金總額 超過4萬美元）。
- 透過利用 Linux 核心中與輸入值驗證不正確相關的漏洞，在 Ubuntu 桌面上進行本地權限升級（獎金 30 美元）；
- 演示退出VirtualBox 中的來賓環境並使用虛擬機器管理程式權限執行程式碼，利用兩個漏洞- 從分配的緩衝區之外的區域讀取資料的能力以及使用未初始化變數時的錯誤（獎金40 萬美元） 。 在比賽之外，零日計畫的代表還展示了另一種 VirtualBox 駭客技術，該技術允許透過在來賓環境中進行操作來存取主機系統；
- 使用提升到 macOS 核心層級的權限入侵 Safari 並以 root 身分執行計算器。 為了進行利用，使用了一系列 6 個錯誤（獎金 70 萬美元）；
- 兩個演示，透過利用漏洞來存取已釋放的記憶體區域，從而在 Windows 中進行本地權限提升（兩項獎金各 40 萬美元）；
- 在 Adobe Reader 中開啟專門設計的 PDF 文件時，在 Windows 中取得管理員存取權限。 該攻擊涉及 Acrobat 和 Windows 核心中與存取已釋放記憶體區域相關的漏洞（獎金 50 美元）。
駭客 Chrome、Firefox、Edge、Microsoft Hyper-V 用戶端、Microsoft Office 和 Microsoft Windows RDP 的提名仍未有人領取。 有人嘗試破解 VMware Workstation，但沒有成功。
與去年一樣，獎項類別不包括大多數開源專案（nginx、OpenSSL、Apache httpd）的駭客攻擊。
另外，我們可以注意到駭客攻擊特斯拉汽車資訊系統的主題。 儘管最高獎金為 700 萬美元，但比賽中沒有人試圖破解特斯拉，但單獨 關於特斯拉 Model 2020 中發現的 DoS 漏洞 (CVE-10558-3)，該漏洞允許在內建瀏覽器中開啟專門設計的頁面時禁用來自自動駕駛儀的通知併中斷組件的運行，例如車速表、瀏覽器、空調、導航系統等。
來源： opennet.ru