Viime viikolla Kanadassa CanSecWest-konferenssissa järjestettiin vuosittainen Pwn2Own 2019 -kilpailu, jonka järjesti Trend Micro Zero Day Initiative (ZDI). Tapahtuman palkintopotti oli tänä vuonna yli miljoona dollaria. Kilpailijat voittivat kuitenkin muutakin kuin rahaa: yksi tiimi esimerkiksi onnistui murtautumaan Tesla Model 3 -autoon ja sai pitää sen itselleen.
Kilpailun ensimmäisenä päivänä murrettiin Apple Safari, Oracle VirtualBox ja VMware Workstation, mikä toi tutkijoille 240 000 USD. Parhaat tulokset saavutti Fluoroacetate-tiimi, johon kuuluvat Amat Cama ja Richard Zhu. Heistä tuli edellisenä vuonna tuloksekkain kilpailija, ja he voittivat Master of Pwn -tittelin.
Juuri Fluoroacetate esitteli toimivat hyökkäykset Safariin (täysi puskurin ylivuoto ja keko, joka johti hiekkalaatikon ohittamiseen), Oracle VirtualBoxiin (oikeuksien korotus ja mielivaltaisen koodin suoritus) sekä VMware Workstationiin (virtuaalikoneesta poistuminen ja koodin suoritus isäntäkäyttöjärjestelmässä). Nämä toivat tiimille 55 000, 35 000 ja 70 000 dollaria vastaavasti. Ensimmäisen kilpailupäivän jälkeen Fluoroacetatella oli siis jo 160 000 dollaria.
Myös ensimmäisenä päivänä STAR Labsin tutkija anhdaden (35 000 dollaria) esitteli hyökkäyksensä Oracle VirtualBoxiin (phoenhex & qwerty) ja osoitti saavansa täyden hallinnan järjestelmään hyödyntämällä Apple Safarin haavoittuvuuksia (45 000 dollaria).
Pwn2Ownin toisena päivänä tietoturva-asiantuntijat murtautuivat Mozilla Firefoxiin ja Microsoft Edgeen. Parhaan tuloksen saivat jälleen Fluoroacetaten jäsenet. Ensin he esittelivät Firefoxiin kohdistuvan hyökkäyksen, joka hyödyntää JIT-virhettä (Just-in-Time) ja Windowsin ytimessä olevaa ongelmaa, jossa kirjoitetaan varatun muistin rajojen ulkopuolelle. Tuloksena osoitettiin koodin suoritus järjestelmätasolla, ja ongelmien aiheuttamiseen riitti, että Firefoxia käyttävä kävi tutkijoiden haitallisella verkkosivulla. Tämä toi tiimille 50 000 dollaria.
Edgen täydellinen murto, johon kuului virtuaalikoneesta poistuminen, kriittinen kilpajuoksutilanne ytimessä ja tyyppisekaannusvirhe itse selaimessa. Näiden haavoittuvuuksien yhdistelmän avulla asiantuntijat saivat virtuaalikoneessa toimivan selaimen suorittamaan mielivaltaista koodia isäntäkäyttöjärjestelmässä. Tämä murto toi Fluoroacetaten kassaan 130 000 dollaria lisää.
Lisäksi kilpailun toisena päivänä Niklas Baumstark sai 40 000 USD JIT-virheestä ja Firefoxin loogisesta haavoittuvuudesta, ja Exodus Intelligencen Arthur Gerkis sai 50 000 USD hiekkalaatikosta poistumisesta Microsoft Edgessä.
Kilpailun kolmas päivä oli omistettu autojen murtamiselle. Tänä vuonna osallistujia nimittäin pyydettiin murtautumaan Tesla Model 3 -autoon, ja kaksi tiimiä ilmoittautui osallistumaan: Fluoroacetate ja Team KunnaPwn. Valitettavasti kolmannen päivän aamuna selvisi, että Team KunnaPwn oli perunut ilmoittautumisensa eikä halunnut osallistua kilpailuun. Lopulta vain Zhu ja Cama murtivat auton.
Fluoroacetate-tiimi osoitti, että auton infotainment-järjestelmä oli vaarannettu. Asiantuntijat suorittivat JIT-koodia selaimen renderöinnin aikana, pääsivät käsiksi auton laiteohjelmistoon ja onnistuivat näyttämään oman viestinsä multimediajärjestelmässä.
Tesla Model 3:n onnistunut murto toi tiimille paitsi 35 000 dollaria lisää, myös mahdollisuuden pitää murretun auton (Pwn2Ownin sääntöjen mukaan kaikki murretut laitteet jäävät tutkijoille). Teslan edustajat lupasivat korjata asiantuntijoiden löytämät ongelmat lähipäivinä.
Pwn2Ownin osallistujat voittivat tänä vuonna yhteensä 545 000 Yhdysvaltain dollaria, josta 375 000 meni Fluoroacetate-tiimille. Zhu ja Cama saivat jälleen Master of Pwn -tittelin eli vuoden tehokkaimpien hakkerien arvonimen.
