Samsung Galaxy S9 va Xiaomi Mi6’da jiddiy zaifliklar aniqlandi

Zaifliklar Pwn2Own 2018 tanlovi davomida aniqlandi va ular haqidagi tafsilotlar 90 kun ichida e’lon qilinadi.

13-14-noyabr kunlari Tokioda bo’lib o’tgan Pwn2Own 2018 xakerlik musobaqasi ishtirokchilari yana bir bor barcha xavfsizlik yangilanishlari o’rnatilgan eng so’nggi operatsion tizimda ishlaydigan mobil qurilma ham xakerlik hujumiga uchrashi mumkinligini isbotladilar. Musobaqa davomida ishtirokchilar uchta yirik ishlab chiqaruvchining smartfonlarini muvaffaqiyatli xakerlik hujumiga uchratishdi: iPhone X (SecurityLab avval xabar berganidek), Samsung Galaxy S9 va Xiaomi Mi6. Dunyo bo’ylab oq shlyapalilar yuqorida aytib o’tilgan qurilmalarda ilgari noma’lum bo’lgan 18 ta zaiflikni aniqladilar va ular uchun eksploytlar yaratdilar, jami 325 000 dollar daromad olishdi.

Richard Zhu va Amat Cama dan iborat Fluoroacetate deb nomlangan ikki kishilik guruh smartfonning asosiy tarmoq komponentidagi uyum toshib ketish zaifligidan foydalanib, Samsung Galaxy S9 ni buzib kirishga muvaffaq bo’ldi. Jamoa bu kashfiyoti uchun 50 000 dollar oldi. Richard Zhu va Amat Cama dan iborat Fluoroacetate deb nomlangan ikki kishilik guruh smartfonning asosiy tarmoq komponentidagi uyum toshib ketish zaifligidan foydalanib, Samsung Galaxy S9 ni buzib kirishga muvaffaq bo’ldi. Jamoa bu kashfiyoti uchun 50 000 dollar oldi.

MWR jamoasi yana uchta zaiflikni aniqladi va ulardan Wi-Fi orqali Samsung Galaxy S9 ni buzib kirish uchun foydalangan. Keyin ular maqsadli qurilmaga zararli ilovani o’rnatish uchun xavfli yo’naltirishdan foydalangan va 30 000 dollar mukofot olgan.

Musobaqa davomida Fluoroacetate boshqa bir smartfon – Xiaomi Mi6 ni muvaffaqiyatli buzib kirdi. NFC texnologiyasidan foydalangan holda, jamoa smartfonni foydalanuvchining xabarisiz brauzerda maxsus sozlangan veb-sahifani ochishga majbur qilishga muvaffaq bo’ldi va buning uchun 30 000 dollar ishlab topdi.

Musobaqaning ikkinchi kunida Fluoroacetate Xiaomi Mi6 brauzerining JavaScript dvigatelidagi butun sonli to’lib ketish zaifligidan muvaffaqiyatli foydalandi va smartfonda saqlangan fotosuratlarni qaytarib oldi. Zaiflikni aniqlash jamoaga qo’shimcha 25 000 dollar keltirdi.

Mustaqil muallif Maykl Kontreras Xiaomi Mi6 da ixtiyoriy kodni bajarishga imkon beruvchi tip chalkashligi zaifligidan foydalangani uchun 25 000 dollar oldi.

Siz taxmin qilganingizdek, Team Fluoroacetate Pwn2Own 2018 chempioni sifatida paydo bo’ldi va jami 215 000 dollar daromad oldi hamda «Pwn ustasi» unvoniga sazovor bo’ldi. Ular aniqlagan zaifliklar tafsilotlari ishlab chiqaruvchilarga yamoqlarni tayyorlash uchun vaqt berish maqsadida 90 kun ichida oshkor qilinadi. Yamoqlar chiqarilgunga qadar, qurilmalar hujumlarga qarshi himoyasiz bo’lib qoladi.