La semana pasada en Canadá, en la conferencia CanSecWest, se celebró el concurso anual Pwn2Own 2019, organizado por Trend Micro Zero Day Initiative (ZDI). El fondo de recompensas del evento este año superó el millón de dólares. Pero los competidores no solo ganaron dinero; por ejemplo, un equipo logró hackear el Tesla Model 3 y quedárselo para sí mismo.
Durante el primer día del concurso, Apple Safari, Oracle VirtualBox y VMware Workstation fueron hackeados, lo que reportó a los investigadores 240 000 USD. El equipo Fluoroacetate obtuvo los mejores resultados, en particular Amat Cama y Richard Zhu, que se convirtió en el competidor más productivo del año pasado y obtuvo el título de Master of Pwn.
Fluoroacetate fue quien demostró exploits funcionales para Safari (un desbordamiento total y un heap que conduce a un escape de Sandbox), Oracle VirtualBox (escalada de privilegios y ejecución de código arbitrario) y VMware Workstation (un escape de máquina virtual y ejecución en el sistema operativo host). Todo ello reportó al equipo 55 000 $, 35 000 $ y 70 000 $, respectivamente. Así, tras el primer día de competición, Fluoroacetate ya tenía 160 000 $.
También el primer día, el explorador anhdaden de STAR Labs (35 000 $) presentó su exploit para Oracle VirtualBox (phoenhex & qwerty) y demostró un control total del sistema aprovechando las vulnerabilidades de Apple Safari (45 000 $).
Durante el segundo día de Pwn2Own, expertos en seguridad desmantelaron los navegadores Mozilla Firefox y Microsoft Edge. Aquí, el mejor resultado volvió a ser para los chicos de Fluoroacetate. En primer lugar, presentaron un exploit para Firefox que utiliza el fallo JIT (Just-in-Time) y el problema de escritura más allá de los límites de la memoria asignada en el kernel de Windows. Como resultado, se demostró la ejecución de código a nivel de sistema y, para resolver los problemas, bastaba con que los usuarios de Firefox visitaran el sitio web malicioso de los investigadores. Esto reportó al equipo 50 000 $.
El hackeo completo de Edge, que incluyó el escape de una máquina virtual, una condición de carrera crítica en el kernel y un fallo de confusión de tipos en el propio navegador. La combinación de estas vulnerabilidades permitió a los especialistas hacer que el navegador que se ejecutaba en la máquina virtual ejecutara código arbitrario en el sistema operativo host. Este hackeo sumó 130 000 dólares a la hucha de Fluoroacetate.
Además, el segundo día del concurso, Niklas Baumstark recibió 40 000 USD por el fallo JIT y la vulnerabilidad lógica en Firefox, y Arthur Gerkis, de Exodus Intelligence, 50 000 USD por el escape del sandbox de Microsoft Edge.
El tercer día del concurso se dedicó al hackeo de automóviles. El caso es que este año se invitó a los participantes a hackear el Tesla Model 3, y dos equipos presentaron su candidatura para participar: Fluoroacetate y Team KunnaPwn. Lamentablemente, la mañana del tercer día se supo que Team KunnaPwn había retirado su candidatura y no quería participar en la competición. Finalmente, solo Zhu y Kama lograron romper el coche.
El equipo Fluoroacetate demostró que el sistema de infoentretenimiento de los automóviles había sido comprometido. Los expertos ejecutaron código JIT durante la renderización del navegador, accedieron al firmware del coche y lograron mostrar su propio mensaje a través del sistema multimedia.
El compromiso exitoso del Tesla Model 3 no solo reportó 35 000 dólares adicionales al equipo, sino que también permitió a los especialistas quedarse con el coche hackeado (según las reglas de Pwn2Own, todos los dispositivos hackeados pasan a manos de los investigadores). Los representantes de Tesla prometieron resolver en los próximos días los problemas descubiertos por los expertos.
Como resultado, los participantes de Pwn2Own ganaron este año un total de 545 000 dólares estadounidenses, de los cuales 375 000 fueron para el equipo Fluoroacetate. Zhu y Kama recibieron nuevamente el título de Master of Pwn, es decir, los hackers más eficaces del año.
