Викиновости

На соревновании Pwn2Own 2020 продемонстрированы взломы Ubuntu, Windows, macOS и VirtualBox

20 марта 2020 года

Подведены итоги двух дней соревнований Pwn2Own 2020, ежегодно проводимых в рамках конференции CanSecWest. В этом году соревнования проводились виртуально и атаки демонстрировались online. На соревновании были представлены рабочие техники эксплуатации ранее неизвестных уязвимостей в Ubuntu Desktop (ядре Linux), Windows, macOS, Safari, VirtualBox и Adobe Reader. Суммарный размер выплат составил 270 тысяч долларов (общий призовой фонд составлял более 4 млн долларов США).

  • Локальное повышение привилегий в Ubuntu Desktop через эксплуатацию уязвимости в ядре Linux, связанной с некорректной проверкой входных значений (приз 30 тыс. долларов);
  • Демонстрация выхода из гостевого окружения в VirtualBox и выполнения кода с правами гипервизора, эксплуатируя две уязвимости - возможность прочитать данные из области вне выделенного буфера и ошибку при работе с неинициализированными переменными (приз 40 тыс. долларов). Вне конкурса представители Zero Day Initiative также продемонстрировали ещё один взлом VirtualBox, позволяющий через манипуляции в гостевом окружении получить доступ к хост-системе;
  • Взлом Safari с повышением привилегий до уровня ядра macOS и запуском калькулятора с правами root. Для эксплуатации использована цепочка из 6 ошибок (приз 70 тыс. долларов);
  • Две демонстрации локального повышения привилегий в Windows через эксплуатацию уязвимостей, приводящих к обращению к уже освобождённой области памяти (два приза по 40 тыс. долларов);
  • Получение доступа администратора в Windows при открытии специально оформленного PDF-документа в Adobe Reader. При атаке задействованы уязвимости в Acrobat и в ядре Windows, связанные с обращением к уже освобождённым областям памяти (приз 50 тыс. долларов).

Остались невостребованными номинации за взлом Chrome, Firefox, Edge, Microsoft Hyper-V Client, Microsoft Office и Microsoft Windows RDP. Была предпринята попытка взлома VMware Workstation, но она не увенчалась успехом. Как и в прошлом году в призовые номинации не вошли взломы большинства открытых проектов (nginx, OpenSSL, Apache httpd).

Отдельно можно отметить тему взлома информационных систем автомобиля Tesla. На соревновании не было предпринято попыток взлома Tesla, несмотря на максимальный размер премии в 700 тысяч долларов, но отдельно появилась информация (Архивная копия от 29 сентября 2020 на Wayback Machine) о выявлении DoS-уязвимости (CVE-2020-10558) в Tesla Model 3, позволяющей при открытии во встроенном браузере специально оформленной страницы отключить уведомления от автопилота и нарушить работу таких компонентов, как спидометр, браузер, кондиционер, система навигации и т.п.

Источники

править


 
 
Creative Commons
Эта статья содержит материалы из статьи «На соревновании Pwn2Own 2020 продемонстрированы взломы Ubuntu, Windows, macOS и VirtualBox», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=На_соревновании_Pwn2Own_2020_продемонстрированы_взломы_Ubuntu,_Windows,_macOS_и_VirtualBox&oldid=16143284