Четвъртият ден на Pwn2Own Ireland 2024 отбеляза края на хакерското състезание с награди от над 1 милион долара за над 70 уникални уязвимости от типа „нулев ден“ в напълно поправени устройства.

Състезанието за хакери изправя изследователите по сигурността срещу различни софтуерни и хардуерни продукти в опит да спечелят титлата „Master of Pwn“, като компрометират цели в осем категории, вариращи от мобилни телефони, приложения за съобщения, домашна автоматизация и интелигентни високоговорители до принтери, системи за наблюдение, мрежови устройства за съхранение (NAS) и SOHO Smash-up.

Това издание на Pwn2Own беше четвъртото поредно, в което белите хакери преминаха границата от един милион долара награда, като спечелиха общо 1 066 625 долара.

През последния ден на състезанието изследователите по сигурността успешно експлоатираха устройства на Lexmark, True NAS и QNAP:

• Отборът Smoking Barrels използва две уязвимости в TrueNAS X. Въпреки че един от бъговете е бил използван преди това в състезанието, отборът все пак спечели 20 000 долара и 2 точки Master of Pwn
• Отбор Cluck използва верига от шест уязвимости, за да премине от QNAP QHora-322 към Lexmark CX331adwe. Една от уязвимостите вече е била използвана, но те получиха 23 000 долара и точки Master of Pwn за успешната експлоатация
• Viettel Cyber Security се насочи към TrueNAS Mini X с експлойт с две грешки. Тяхната верига също разчиташе на бъг, който вече беше видян в състезанието, но демонстрацията им беше възнаградена с 20 000 USD и 2 точки Master of Pwn
• PHP Hooligans / Midnight Blue използваха уязвимост, свързана с препълване на цяло число, за да експлоатират принтер Lexmark, което им донесе 10 000 USD и 2 точки за Master of Pwn

Viettel Cyber Security получи наградата „Master of Pwn“ за събирането на общо 33 Master of Pwn точки. Те спечелиха 205 000 долара за демонстрираните дефекти в устройствата QNAP NAS, високоговорителите Sonos и принтерите Lexmark.

Крайно класиране на Pwn2Own Ireland 2024
Източник:Zero Day Initiative

Следващото събитие Pwn2Own е насрочено за 22 януари 2025 г. и ще се проведе в Токио, Япония.

Събитието се фокусира върху автомобилната индустрия и има четири категории за участниците: Tesla, Инфотейнмънт в автомобила (IVI), Зарядни устройства за електромобили и Операционни системи.

Инициативата Zero Day (ZDI) публикува подробности за категориите и паричните награди за успешна експлоатация.