Pwn2Own 2019 ishtirokchilari Safari, Oracle VirtualBox va VMware Workstation’ni buzib kirishdi.
Apple Safari, Oracle VirtualBox va VMware Workstation virtualizatsiya dasturi musobaqaning birinchi kunida buzib kirildi.
Apple Safari, shuningdek, Oracle VirtualBox va VMware Workstation virtualizatsiya dasturi Pwn2Own 2019 musobaqasining birinchi kunida buzib kirildi va tadqiqotchilarga 240 000 dollar daromad keltirdi. Hozirda Kanadaning Vankuver shahrida bo’lib o’tayotgan Pwn2Own 2019 xakerlik musobaqasi Trend Micro Zero Day Initiative (ZDI) tomonidan tashkil etilgan. Bu yil tadbirning sovrin jamg’armasi 1 million dollardan oshadi. Bundan tashqari, musobaqa tarixida birinchi marta ishtirokchilar Tesla Model 3 ni buzib kirishda omadlarini sinab ko’rishadi. Muvaffaqiyatli xaker 300 million dollar va avtomobil oladi.
Musobaqaning birinchi kunida Fluoroacetate jamoasidan Amat Cama va Richard Zhu Safari’dagi zaifliklardan muvaffaqiyatli foydalanganliklari uchun 55 000 dollar yutib olishdi. Tadqiqotchilar butun sonli toshib ketish va bufer toshib ketish zaifliklaridan foydalanib, sinov muhitini chetlab o‘tishga muvaffaq bo‘lishdi. Sinov muhitini chetlab o‘tish uchun tadqiqotchilar qo‘pol kuch hujumlaridan foydalanishdi.
Kama va Zhu Oracle VirtualBox’ni buzib kirish uchun yana 35 000 dollar yutib olishdi. Ikkinchi urinishida ular butun sonlarning toshib ketishidan foydalanishdi va oʻz imtiyozlarini oshirish va maqsadli tizimda ixtiyoriy kodni bajarish uchun parallellik noaniqligini («poyga sharti» deb ataladigan) keltirib chiqarishdi.
Fluoroacetate jamoasi VMware Workstation virtual mashinasini chetlab o’tib, xost tizimida kodni bajargani uchun 70 000 dollar ishlab topdi. Musobaqaning birinchi kunida jamoa jami 160 000 dollar ishlab topdi.
STAR Labs tadqiqotchisi, «anhdaden» taxallusidan foydalangan holda, Oracle VirtualBox’ni buzib kirgani uchun 35 000 dollar oldi. Fluoroacetate singari, u ham o‘z imtiyozlarini oshirishga va kodni bajarishga muvaffaq bo‘ldi, ammo boshqa butun sonli toshib ketish zaifligidan foydalandi.
Phoenhex & qwerty jamoasi Safari brauzeridagi zaifliklardan foydalanib, tizimni to’liq buzib kirish va yadro imtiyozlari uchun 45 000 dollar yutib oldi. Jabrlanuvchining zararli veb-saytga tashrif buyurishi bilan bog’liq bo’lgan ularning hujumi Just-in-Time (JIT) xatosi, chegaradan tashqari o’qish va Time-of-Check-Time-of-Use (TOCTOU) xatosiga asoslangan. Jamoa o’z hujumi uchun bundan ham ko’proq narsani olishi mumkin edi, ammo ma’lum bo’lishicha, Apple tadqiqotchilar tomonidan aniqlangan zaifliklardan biri haqida allaqachon xabardor bo’lgan.
