В первый день Pwn2Own исследователи безопасности выиграли Tesla Model 3

В первый день Pwn2Own Vancouver 2023 исследователи безопасности успешно продемонстрировали эксплойты нулевого дня для Tesla Model 3, Windows 11 и macOS в борьбе за главный приз - $375 000 и Tesla Model 3.

Первый был взломан Adobe Reader в категории корпоративных приложений после того, как Абдул Азиз Харири из Haboob SA ( @abdhariri ) использовал цепочку эксплойтов, которые позволили выйти за пределы песочницы и обойти список запрещенных API в macOS. Приз для исследователя безопасности составил $50 000.

Команда STAR Labs ( @starlabs_sg ) продемонстрировала цепочку эксплойтов нулевого дня, нацеленную на платформу совместной работы Microsoft SharePoint, которая принесла вознаграждение в размере $100 000. Команда также взломала Ubuntu Desktop и получила за это $15 000.

Специалисты из Synacktiv ( @Synacktiv ) выиграли $100 000 и электромобиль Tesla Model 3 после успешного выполнения атаки TOCTOU против Tesla Gateway. Они также использовали уязвимость нулевого дня TOCTOU для повышения привилегий в Apple macOS и заработали $40 000.

Исследователь Бьен Фам из Qrious Security ( @bienpnn ) взломал Oracle VirtualBox с помощью функции OOB Read и цепочки эксплойтов переполнения буфера на основе стека. Приз - $40 000.

Марцин Визовски повысил привилегии в Windows 11, используя неверную проверку ввода, за что получил $30 000.

В рамках конкурса Pwn2Own Vancouver 2023 исследователи безопасности будут ориентироваться на продукты в категориях корпоративных приложений, корпоративных коммуникаций, локального повышения привилегий (EoP), серверов, виртуализации и автомобилей.

На второй день участники Pwn2Own продемонстрируют эксплойты нулевого дня, нацеленные на Microsoft Teams, Oracle VirtualBox, информационно-развлекательную систему Tesla Model 3 Unconfined Root и Ubuntu Desktop.

В последний день конкурса исследователи безопасности попытаются взломать Microsoft Teams, Windows 11 и VMware Workstation.

В период с 22 по 24 марта участники могут заработать $1 080 000 и автомобиль Tesla Model 3. Высшая награда за взлом Tesla теперь составляет $150 000 и сам автомобиль.

После демонстрации и раскрытия уязвимостей нулевого дня во время Pwn2Own у поставщиков есть 90 дней на создание и выпуск исправлений безопасности для всех обнаруженных недостатков, прежде чем инициатива Trend Micro Zero Day Initiative публично обнародует их.