Sidste uge blev den årlige konkurrence Pwn2Own 2019, arrangeret af Trend Micro Zero Day Initiative (ZDI), afholdt i Canada under konferencen CanSecWest. Begivenhedens præmiepulje var i år på over en million dollars. Men deltagerne vandt ikke kun penge – et hold formåede for eksempel at hacke en Tesla Model 3 og beholde bilen selv.
På konkurrencens første dag blev Apple Safari, Oracle VirtualBox og VMware Workstation hacket, hvilket indbragte forskerne 240.000 USD. Holdet Fluoroacetate opnåede de bedste resultater, heriblandt Amat Cama og Richard Zhu, som sidste år blev den mest succesrige deltager og vandt titlen Master of Pwn.
C’est l’équipe Fluoroacetate qui a présenté des exploits fonctionnels pour Safari (un débordement total et un tas entraînant un échappement de la Sandbox), Oracle VirtualBox (élévation de privilèges et exécution de code arbitraire) et VMware Workstation (un échappement de machine virtuelle et une exécution dans le système d’exploitation hôte). Tout cela a rapporté à l’équipe 55 000 $, 35 000 $ et 70 000 $, respectivement. Ainsi, après le premier jour de compétition, Fluoroacetate avait déjà 160 000 $.
Også på første dag fremviste forskeren anhdaden fra STAR Labs (35.000 $) sit exploit til Oracle VirtualBox (phoenhex & qwerty) og demonstrerede fuld kontrol over systemet ved at udnytte sårbarheder i Apple Safari (45.000 $).
På Pwn2Owns anden dag knækkede sikkerhedseksperter browserne Mozilla Firefox og Microsoft Edge. Også her leverede fyrene fra Fluoroacetate igen det bedste resultat. Først fremviste de et exploit til Firefox, der udnytter en JIT-fejl (Just-in-Time) og et problem med skrivning ud over grænserne af den tildelte hukommelse i Windows-kernen. Dermed blev kodeudførelse på systemniveau demonstreret, og for at udnytte sårbarhederne var det nok, at man besøgte forskernes ondsindede websted med Firefox. Det indbragte holdet 50.000 $.
Det komplette hack af Edge omfattede et udbrud fra en virtuel maskine, en kritisk race condition i kernen og en type confusion-fejl i selve browseren. Kombinationen af disse sårbarheder hjalp specialisterne med at få browseren, der kørte på den virtuelle maskine, til at udføre vilkårlig kode på værtsoperativsystemet. Dette hack føjede 130.000 dollars til Fluoroacetates sparegris.
Desuden modtog Niklas Baumstark på konkurrencens anden dag 40.000 USD for en JIT-fejl og en logisk sårbarhed i Firefox, og Arthur Gerkis fra Exodus Intelligence fik 50.000 USD for en sandbox-flugt i Microsoft Edge.
Konkurrencens tredje dag var helliget bilhacking. Det er nemlig sådan, at deltagerne i år blev udfordret til at hacke en Tesla Model 3, og to hold meldte sig til at deltage: Fluoroacetate og Team KunnaPwn. Desværre blev det om morgenen på tredje dag kendt, at Team KunnaPwn havde trukket sin tilmelding tilbage og ikke ønskede at deltage i konkurrencen. Til sidst var det kun Zhu og Cama, der knækkede bilen.
Holdet Fluoroacetate demonstrerede, at bilens infotainmentsystem var blevet kompromitteret. Eksperterne udførte JIT-kode under browserens rendering, fik adgang til bilens firmware og formåede at vise deres egen besked via multimediesystemet.
Det vellykkede kompromitterende angreb på Tesla Model 3 indbragte ikke blot holdet yderligere 35.000 dollars, men gjorde det også muligt for specialisterne at beholde den hackede bil (ifølge Pwn2Owns regler tilfalder alle hackede enheder forskerne). Teslas repræsentanter har lovet at løse de problemer, eksperterne har opdaget, i løbet af de kommende dage.
En conséquence, les participants à Pwn2Own ont gagné cette année un total de 545 000 dollars US, dont 375 000 sont revenus à l’équipe Fluoroacétate. Zhu et Kama ont de nouveau reçu le titre de Master of Pwn, c’est-à-dire les pirates informatiques les plus performants de l’année.
