पिछले हफ़्ते कनाडा में, CanSecWest सम्मेलन के दौरान, Trend Micro Zero Day Initiative (ZDI) द्वारा आयोजित वार्षिक प्रतियोगिता Pwn2Own 2019 संपन्न हुई। इस वर्ष आयोजन का पुरस्कार कोष दस लाख डॉलर से अधिक था। लेकिन प्रतिभागियों ने केवल धन ही नहीं जीता; उदाहरण के लिए, एक टीम ने Tesla Model 3 कार को हैक करने में सफलता पाई और उसे अपने लिए ही रख लिया।
प्रतियोगिता के पहले दिन Apple Safari, Oracle VirtualBox और VMware Workstation को हैक किया गया, जिससे शोधकर्ताओं को 240,000 USD मिले। Fluoroacetate टीम ने सर्वश्रेष्ठ परिणाम हासिल किए, जिनमें Amat Cama और Richard Zhu शामिल हैं; Richard Zhu पिछले वर्ष के सबसे उत्पादक प्रतिभागी बने और उन्होंने Master of Pwn का खिताब जीता।
Fluoroacetate ने Safari (पूर्ण ओवरफ़्लो और heap, जिससे Sandbox से बाहर निकलना संभव हुआ), Oracle VirtualBox (विशेषाधिकार वृद्धि और मनमाने कोड का निष्पादन) और VMware Workstation (virtual machine से बाहर निकलना और होस्ट ऑपरेटिंग सिस्टम में कोड निष्पादन) के कार्यशील exploits प्रदर्शित किए। इन सबसे टीम को क्रमशः 55,000 $, 35,000 $ और 70,000 $ मिले। इस प्रकार, प्रतियोगिता के पहले दिन के अंत तक Fluoroacetate के पास पहले ही 160,000 $ हो चुके थे।
पहले दिन ही STAR Labs के शोधकर्ता anhdaden (35,000 $) ने Oracle VirtualBox (phoenhex & qwerty) के लिए अपना exploit प्रस्तुत किया और Apple Safari की कमजोरियों का फायदा उठाकर सिस्टम पर पूर्ण नियंत्रण दिखाया (45,000 $)।
Pwn2Own के दूसरे दिन, सुरक्षा विशेषज्ञों ने Mozilla Firefox और Microsoft Edge browsers को तोड़ा। यहाँ भी सर्वश्रेष्ठ परिणाम Fluoroacetate के लोगों का रहा। सबसे पहले, उन्होंने Firefox के लिए एक exploit प्रस्तुत किया, जिसमें JIT (Just-in-Time) bug और Windows kernel में आवंटित मेमोरी की सीमा से बाहर लिखने की समस्या का उपयोग किया गया। परिणामस्वरूप सिस्टम-स्तर पर कोड निष्पादन प्रदर्शित हुआ, और इसके लिए केवल Firefox उपयोग करने वाले पीड़ित को शोधकर्ताओं की दुर्भावनापूर्ण वेबसाइट पर जाना पर्याप्त था। इससे टीम को 50,000 $ मिले।
Edge का पूर्ण हैक, जिसमें virtual machine से बाहर निकलना, kernel में एक critical race condition और browser में ही एक type confusion bug शामिल था। इन कमजोरियों के संयोजन से विशेषज्ञ यह सुनिश्चित कर सके कि virtual machine में चल रहा browser होस्ट ऑपरेटिंग सिस्टम पर मनमाना कोड चलाए। इस हैक ने Fluoroacetate की गुल्लक में 130,000 डॉलर और जोड़े।
इसके अलावा, प्रतियोगिता के दूसरे दिन, Niklas Baumstark ने Firefox में JIT bug और logic vulnerability के लिए 40,000 USD, और Exodus Intelligence के Arthur Gerkis ने Microsoft Edge की sandbox escape के लिए 50,000 USD प्राप्त किए।
प्रतियोगिता के तीसरे दिन कार हैकिंग के लिए समर्पित था। इस वर्ष प्रतिभागियों को Tesla Model 3 को हैक करने के लिए आमंत्रित किया गया था, और दो टीमों ने भाग लेने हेतु आवेदन किया: Fluoroacetate और Team KunnaPwn। दुर्भाग्य से, तीसरे दिन की सुबह पता चला कि Team KunnaPwn ने अपना आवेदन वापस ले लिया है और प्रतियोगिता में भाग नहीं लेना चाहती। अंत में केवल Zhu और Kama ने कार को तोड़ा।
Fluoroacetate टीम ने दिखाया कि कारों के infotainment सिस्टम से समझौता किया जा सकता है। विशेषज्ञों ने ब्राउज़र रेंडर करते समय JIT कोड चलाया, कार के फर्मवेयर तक पहुँच बनाई और मल्टीमीडिया सिस्टम के माध्यम से अपना संदेश प्रदर्शित करने में सफल रहे।
Tesla Model 3 के सफल समझौते से टीम को 35,000 डॉलर अतिरिक्त मिले, और विशेषज्ञ हैक की गई कार को अपने पास भी रख सके (Pwn2Own के नियमों के अनुसार, सभी हैक किए गए उपकरण शोधकर्ताओं के होते हैं)। Tesla के प्रतिनिधियों ने विशेषज्ञों द्वारा खोजी गई समस्याओं को आने वाले दिनों में हल करने का वादा किया है।
परिणामस्वरूप, इस वर्ष Pwn2Own के प्रतिभागियों ने कुल 545,000 US डॉलर जीते, जिनमें से 375,000 Fluoroacetate टीम को गए। Zhu और Kama को एक बार फिर Master of Pwn का खिताब मिला, यानी वर्ष के सबसे कुशल हैकर।
