A Pwn2Own 2021 hackerversenyen széles körben használt alkalmazások és operációs rendszerek estek áldoztául a fehérkalapos résztvevőknek. A Trend Micro Zero Day Initiative (ZDI) idén is megrendezte a Pwn2Own hackerversenyt, amelyen ezúttal is több százezer dollár jutalmat osztott ki azon résztvevők között, akik a "benevezett" szoftverek, operációs rendszerek ellen sikeres támadásokat hajtottak végre eddig nem ismert sebezhetőségeken keresztül. Természetesen idén is szigorú szabályai voltak a sérülékenységekkel kapcsolatos információk kezelésének.
A versenyzők csak a ZDI csapatával oszthatták meg a felfedezéseik részleteit, és a gyártók a Trend Micro közreműködésével értesülhettek a hibákról.
A kétnapos rendezvény első napján elsőként a Microsoft Exchange Server esett áldozatul, amikor a Devcore nevű etikus hackercsapat authentikációs mechanizmusok megkerülésével és több biztonsági rés kihasználásával átvette az érintett kiszolgáló feletti irányítást. Ezért 200 ezer dolláros jutalomban részesült a csapat. Hasonló összeg járt a Microsoft Teams-et meghackelő versenyzőnek is, aki egy súlyos, jogosulatlan távoli kódfuttatásra módot adó hibára hívta fel a figyelmet.
Az első napon a versenyzők sikeresen hackelték meg az Apple Safarit (100 ezer dolláros díj ellenében), a Windows 10-et és az Ubuntu Desktop operációs rendszert.
A második napon a Zoom került sorra, amelyhez két biztonsági kutató egy olyan exploitot készített, aminek révén jogosulatlan kódfuttatásra nyílt lehetőség felhasználói közreműködés nélkül. E sérülékenység feltárásáért 200 ezer dollár ütötte a markukat. Ezt a hackerkedést követően a résztvevők sikeresen támadták még a Chrome és az Edge webböngészőket, a Parallels Desktopot, valamint további ostrom alá helyezték a Windows 10-et, illetve az Ubuntut.
A Tesla sértetlen maradt
A ZDI idén is biztosított lehetőséget arra, hogy az arra jelentkezők egy Tesla gépkocsit hackelhessenek. Azonban most senki sem akadt, aki okosautó fronton vállalkozott volna új támadás, új sebezhetőség bemutatására, így e kategóriában idén nem volt díjazott. Annak ellenére sem volt érdeklődés, hogy akár 600 ezer dollárt is hajlandóak lettek volna fizetni a szervezők egy kritikus biztonsági résért és annak kihasználására alkalmas kódért.
(Forrás: www.biztonsagportal.hu)
