Миналата седмица в Канада, на конференцията CanSecWest, се проведе ежегодното състезание Pwn2Own 2019, организирано от Trend Micro Zero Day Initiative (ZDI). Наградният фонд на събитието тази година надхвърли един милион долара. Но участниците спечелиха не само пари – например един екип успя да хакне автомобила Tesla Model 3 и да го задържи за себе си.
По време на първия ден от състезанието бяха хакнати Apple Safari, Oracle VirtualBox и VMware Workstation, което донесе на изследователите 240 000 USD. Най-добри резултати постигна екипът Fluoroacetate, в който са Amat Cama и Richard Zhu – най-резултатният участник миналата година, спечелил титлата Master of Pwn.
Именно Fluoroacetate демонстрира работещи експлойти за Safari (препълване на цяло число и купчина, водещи до излизане от Sandbox), Oracle VirtualBox (повишаване на привилегии и изпълнение на произволен код) и VMware Workstation (излизане от виртуалната машина и изпълнение в хост операционната система). Всичко това донесе на екипа съответно 55 000 $, 35 000 $ и 70 000 $. Така след първия ден от състезанието Fluoroacetate вече разполагаха със 160 000 $.
Също през първия ден изследователят anhdaden от STAR Labs (35 000 $) представи своя експлойт за Oracle VirtualBox (phoenhex & qwerty) и демонстрира пълен контрол над системата чрез експлоатиране на уязвимости в Apple Safari (45 000 $).
През втория ден от Pwn2Own специалисти по сигурността разбиха браузърите Mozilla Firefox и Microsoft Edge. И тук най-добър резултат отново постигнаха момчетата от Fluoroacetate. Първо те представиха експлойт за Firefox, който използва грешка в JIT (Just-in-Time) и проблем със запис извън границите на заделената памет в ядрото на Windows. В резултат беше демонстрирано изпълнение на код на системно ниво, а за да се предизвикат проблемите, беше достатъчно да се отвори злонамерен уебсайт на изследователите с Firefox. Това донесе на екипа 50 000 $.
Пълен хак на Edge, включващ излизане от виртуална машина, критично състояние на състезание в ядрото и грешка при объркване на типове в самия браузър. Комбинацията от тези уязвимости помогна на специалистите да накарат браузъра, работещ във виртуалната машина, да изпълни произволен код в хост операционната система. Този хак добави 130 000 долара в касичката на Fluoroacetate.
Освен това през втория ден на състезанието Никлас Баумщарк получи 40 000 USD за JIT бъг и логическа уязвимост във Firefox, а Артур Геркис от Exodus Intelligence – 50 000 USD за излизане от пясъчника (sandbox escape) на Microsoft Edge.
Третият ден от състезанието беше посветен на автомобилния хакинг. Тази година участниците трябваше да пробият Tesla Model 3 и два екипа подадоха кандидатура: Fluoroacetate и Team KunnaPwn. За съжаление, сутринта на третия ден стана ясно, че Team KunnaPwn са оттеглили кандидатурата си и не желаят да участват в състезанието. В крайна сметка само Жу и Кама успяха да пробият автомобила.
Екипът Fluoroacetate демонстрира, че инфотейнмънт системата на автомобила е била компрометирана. Експертите изпълниха JIT код при рендирането на браузъра, получиха достъп до фърмуера на автомобила и успяха да изведат собствено съобщение през мултимедийната система.
Успешното компрометиране на Tesla Model 3 не само донесе на екипа допълнителни 35 000 долара, но и позволи на специалистите да задържат хакнатия автомобил (според правилата на Pwn2Own всички хакнати устройства остават за изследователите). Представителите на Tesla обещаха да отстранят проблемите, открити от експертите, през следващите дни.
В резултат участниците в Pwn2Own спечелиха тази година общо 545 000 щатски долара, от които 375 000 отидоха при екипа Fluoroacetate. Жу и Кама отново получиха титлата Master of Pwn, т.е. най-успешните хакери на годината.
