世界黑客大赛Pwn2Own:黑客攻破微软、特斯拉、macOS,夺取百万美元奖金

发布者:Editor
发布于:2023-03-24 19:16

2023年3月22日至24日,趋势科技ZDI在温哥华举办了新一届Pwn2Own大赛,这次大赛共分7个类别,包括虚拟机、web浏览器、企业应用、服务器、本地提权、企业通信以及汽车,赛事奖池超过百万美元。


据悉,本次比赛仍然是混合参赛模式,参赛选手可自由选择远程或现场参赛。知名车企特斯拉成为了本次大赛的合作伙伴,并为大赛提供特斯拉Model 3和Model S作为参赛选手们的攻击目标,最高奖励是60万美元外加汽车本身。


Pwn2Own 温哥华 2023大赛第一天的结果已经出炉。当天参赛选手们共进行了8次攻击尝试。其中成功的有:Haboob SA的AbdulAziz Hariri对Adobe Reader的攻击;STAR Labs对Microsoft SharePoint的攻击;来自Qrious Security的Bien Pham使用OOB Read和基于堆栈的缓冲区溢出来利用Oracle VirtualBox;以及Synacktiv使用TOCTOU漏洞攻击特斯拉网关等。其中选手赢取的单项最高奖金为10万美元和10个Pwn大师积分,另外还有一辆特斯拉Model 3。这一天大赛总共为选手们颁发了375000美元的奖金。


Pwn2Own大赛第二天的比赛结果也已经公布。Synacktiv、Team Viettel等团队分别成功攻击了Oracle VirtualBox、Microsoft Teams等目标,该比赛日共为10个零日漏洞颁发了475000美元奖金。


在比赛的第三天也是最后一天,这些安全研究员们将尝试利用Ubuntu Desktop、Microsoft Teams、Windows 11以及VMware Workstation中的零日漏洞。


按照惯例,对于在Pwn2Own大赛期间演示和披露的零日漏洞,供应商有 90 天的时间为其创建及发布安全修复程序,在这之后趋势科技ZDI将公开披露这些漏洞。


在去年那一届温哥华Pwn2Own大赛中,安全研究员们共六次入侵Windows 11、四次攻击Ubuntu桌面,成功演示了3次Microsoft Teams零日漏洞利用,此外他们还报告了Apple Safari,Oracle Virtualbox和Mozilla Firefox中的几个零日漏洞,并成功入侵了特斯拉Model 3信息娱乐系统。这些成果共为他们赢得了1155000美元奖金。



编辑:左右里

资讯来源:www.zerodayinitiative.com

转载请注明出处和本文链接


每日涨知识

缓冲区溢出(buffer overflow)

这种脆弱性会导致系统崩溃,或者允许用户运行 shell 命令并获得对系统的访问权限。缓冲区溢出脆弱性在使用 CGI 或其他语言快速开发的 Web 代码中尤为普遍,快速代码开发允许没有经验的程序设计人员快速生成交互式的网页。







声明:该文观点仅代表作者本人,转载请注明来自看雪