تم استغلال Microsoft Teams و Virtualbox و Tesla في Pwn2Own

في اليوم الثاني من Pwn2Own Vancouver 2023 ، تم منح المنافسين 475000 دولار بعد نجاحهم في تشغيل 10 أيام صفر عبر منتجات متعددة.

تضمنت قائمة الأهداف التي تم اختراقها Tesla Model 3 ومنصة اتصالات Teams من Microsoft ومنصة Oracle VirtualBox الافتراضية ونظام تشغيل Ubuntu Desktop.

كان تسليط الضوء في اليوم الثاني محاولة ناجحة من قبل Synacktiv’s David Berard (@ _p0ly_) وفينسنت ديهورز (تضمين التغريدة) مقابل تسلا – جذر المعلومات والترفيه غير المحتوي.

أكسبهم ذلك 250 ألف دولار وسمح لهم بالحصول على طراز تسلا 3 إلى المنزل بعد الاختراق من خلال فيض كومة وسلسلة استغلال للكتابة خارج النطاق.

توماس إمبرت من Synacktiv (تضمين التغريدة) وتوماس بوزرار (تضمين التغريدة) نجح أيضًا في استغلال سلسلة من ثلاثة أخطاء لرفع الامتيازات على مضيف Oracle VirtualBox لكسب 80000 دولار.

في محاولة ثالثة من قبل Synacktiv ، Tanguy Dubroca (تضمين التغريدة) تم منحه 30،000 دولار أمريكي لإظهار مؤشر قياس غير صحيح ليوم الصفر يؤدي إلى تصعيد الامتياز على سطح مكتب Ubuntu.

فريق Viettel (تضمين التغريدة) اخترق أيضًا Microsoft Teams عبر سلسلة 2-bug مقابل 78000 دولار و Oracle’s VirtualBox باستخدام خطأ في الاستخدام بعد الحر (UAF) ومتغير غير مهيأ مقابل 40.000 دولار.

في اليوم الأول ، تم منح منافسي Pwn2Own 375000 دولار أمريكي وسيارة Tesla Model 3 بعد نجاحهم في إظهار 12 يومًا صفرًا في Tesla Model 3 و Windows 11 و Microsoft SharePoint و Oracle VirtualBox و macOS.

في اليوم الأخير من المسابقة ، سيحاول الباحثون الأمنيون استغلال أخطاء اليوم صفر في Ubuntu Desktop و Microsoft Teams و Windows 11 و VMware Workstation.

Pwn2Own فانكوفر 2023 يمكن للمتسابقين الفوز بمبلغ 1،080،000 دولار نقدًا وسيارتين من طراز Tesla Model 3 بين 22 مارس و 24 مارس.

الباحثون سوف تستهدف المنتجات من عدة فئات خلال المسابقة ، بما في ذلك تطبيقات المؤسسة ، واتصالات المؤسسة ، والخوادم ، والمحاكاة الافتراضية ، والسيارات ، ورفع الامتياز المحلي (EoP).

وقالت ZDI: “يعد حدث هذا العام ببعض الأبحاث المثيرة حيث لدينا 19 مشاركة تستهدف تسعة أهداف مختلفة – بما في ذلك محاولتا Tesla”.

“بالنسبة لحدث هذا العام ، ستدفع كل جولة الثمن الكامل ، مما يعني أنه إذا نجحت جميع الإنجازات ، فسوف نمنح أكثر من 1،000،000 دولار.”

يجب على البائعين تصحيح ثغرات يوم الصفر التي تم توضيحها والإفصاح عنها خلال Pwn2Own في غضون 90 يومًا قبل أن تنشر مبادرة Zero Day من Trend Micro التفاصيل الفنية علنًا.

في Pwn2Own Vancouver 2022 ، ربح باحثو الأمن 1،155،000 دولار بعد اختراق نظام المعلومات والترفيه Tesla Model 3 ، مما أدى إلى تدمير Windows 11 ست مرات ، وإظهار Microsoft Teams ثلاثة أيام صفر ، واستغلال Ubuntu Desktop أربع مرات.