Την περασμένη εβδομάδα στον Καναδά, στο συνέδριο CanSecWest, διεξήχθη ο ετήσιος διαγωνισμός Pwn2Own 2019, σε διοργάνωση της Trend Micro Zero Day Initiative (ZDI). Το χρηματικό έπαθλο της εκδήλωσης φέτος ξεπερνούσε το ένα εκατομμύριο δολάρια. Οι διαγωνιζόμενοι, όμως, κέρδισαν όχι μόνο χρήματα: για παράδειγμα, μια ομάδα κατάφερε να παραβιάσει το αυτοκίνητο Tesla Model 3 και να το κρατήσει για τον εαυτό της.
Την πρώτη ημέρα του διαγωνισμού παραβιάστηκαν τα Apple Safari, Oracle VirtualBox και VMware Workstation, γεγονός που απέφερε στους ερευνητές 240.000 USD. Τα καλύτερα αποτελέσματα είχε η ομάδα Fluoroacetate, και συγκεκριμένα οι Amat Cama και Richard Zhu, οι οποίοι πέρυσι ήταν οι πιο αποδοτικοί διαγωνιζόμενοι και κέρδισαν τον τίτλο του Master of Pwn.
Η Fluoroacetate παρουσίασε λειτουργικά exploits για το Safari (υπερχείλιση ακεραίου και σωρού που οδηγεί σε διαφυγή από το Sandbox), το Oracle VirtualBox (κλιμάκωση προνομίων και εκτέλεση αυθαίρετου κώδικα) και το VMware Workstation (διαφυγή από την εικονική μηχανή και εκτέλεση στο λειτουργικό σύστημα υποδοχής). Όλα αυτά απέφεραν στην ομάδα 55.000 $, 35.000 $ και 70.000 $ αντίστοιχα. Έτσι, μετά την πρώτη ημέρα του διαγωνισμού, η Fluoroacetate είχε ήδη 160.000 $.
Επίσης την πρώτη ημέρα, ο ερευνητής anhdaden από τα STAR Labs (35.000 $) παρουσίασε το exploit του για το Oracle VirtualBox (phoenhex & qwerty) και επέδειξε πλήρη έλεγχο του συστήματος αξιοποιώντας ευπάθειες του Apple Safari (45.000 $).
Τη δεύτερη ημέρα του Pwn2Own, ειδικοί ασφαλείας κατάφεραν να παραβιάσουν τους browsers Mozilla Firefox και Microsoft Edge. Και εδώ το καλύτερο αποτέλεσμα το πέτυχαν ξανά οι Fluoroacetate. Αρχικά παρουσίασαν ένα exploit για τον Firefox που αξιοποιεί ένα σφάλμα JIT (Just-in-Time) και ένα πρόβλημα εγγραφής εκτός ορίων της κατανεμημένης μνήμης στον πυρήνα των Windows. Ως αποτέλεσμα, επιδείχθηκε εκτέλεση κώδικα σε επίπεδο συστήματος, ενώ για την αξιοποίηση των ευπαθειών αρκούσε να επισκεφθεί κανείς με τον Firefox τον κακόβουλο ιστότοπο των ερευνητών. Αυτό απέφερε στην ομάδα 50.000 $.
Η πλήρης παραβίαση του Edge περιλάμβανε διαφυγή από εικονική μηχανή, κρίσιμη συνθήκη ανταγωνισμού (race condition) στον πυρήνα και ένα σφάλμα σύγχυσης τύπων στον ίδιο τον browser. Ο συνδυασμός αυτών των ευπαθειών βοήθησε τους ειδικούς να κάνουν τον browser που εκτελούνταν στην εικονική μηχανή να εκτελέσει αυθαίρετο κώδικα στο λειτουργικό σύστημα υποδοχής. Αυτό το hack πρόσθεσε 130.000 δολάρια στον κουμπαρά της Fluoroacetate.
Επιπλέον, τη δεύτερη ημέρα του διαγωνισμού, ο Niklas Baumstark κέρδισε 40.000 USD για το σφάλμα JIT και τη λογική ευπάθεια στον Firefox, και ο Arthur Gerkis της Exodus Intelligence 50.000 USD για τη διαφυγή από το sandbox του Microsoft Edge.
Η τρίτη ημέρα του διαγωνισμού ήταν αφιερωμένη στην παραβίαση αυτοκινήτων. Το θέμα είναι ότι φέτος οι συμμετέχοντες κλήθηκαν να παραβιάσουν το αυτοκίνητο Tesla Model 3 και δύο ομάδες υπέβαλαν αίτηση συμμετοχής: η Fluoroacetate και η Team KunnaPwn. Δυστυχώς, το πρωί της τρίτης ημέρας έγινε γνωστό ότι η Team KunnaPwn απέσυρε την αίτησή της και δεν ήθελε να συμμετάσχει στον διαγωνισμό. Τελικά, μόνο οι Zhu και Cama κατάφεραν να παραβιάσουν το αυτοκίνητο.
Η ομάδα Fluoroacetate έδειξε ότι το σύστημα infotainment του αυτοκινήτου είχε παραβιαστεί. Οι ειδικοί εκτέλεσαν κώδικα JIT κατά την απόδοση σελίδων στον browser, απέκτησαν πρόσβαση στο υλικολογισμικό του αυτοκινήτου και κατάφεραν να εμφανίσουν το δικό τους μήνυμα μέσω του συστήματος πολυμέσων.
Η επιτυχής παραβίαση του Tesla Model 3 όχι μόνο απέφερε στην ομάδα επιπλέον 35.000 δολάρια, αλλά επέτρεψε επίσης στους ειδικούς να κρατήσουν το παραβιασμένο αυτοκίνητο (σύμφωνα με τους κανόνες του Pwn2Own, όλες οι συσκευές που παραβιάζονται περνούν στην κατοχή των ερευνητών). Εκπρόσωποι της Tesla υποσχέθηκαν να επιλύσουν τα προβλήματα που ανακάλυψαν οι ειδικοί τις επόμενες ημέρες.
Συνολικά, οι συμμετέχοντες στο Pwn2Own κέρδισαν φέτος 545.000 δολάρια ΗΠΑ, από τα οποία τα 375.000 πήγαν στην ομάδα Fluoroacetate. Οι Zhu και Cama έλαβαν ξανά τον τίτλο του Master of Pwn, δηλαδή των πιο επιτυχημένων χάκερ της χρονιάς.
