Mar 25, 2024 Competizioni, In evidenza, News, RSS, Vulnerabilità

Il 22 marzo si è concluso il Pwn2Own, l’hackathon annuale della Zero Day Initiative. Il primo giorno di gara ha visto trionfare il team di Synacktiv, il quale, riuscendo ad hackerare una Tesla, si è portato a casa 200.000 dollari e una Model 3.

Quest’anno la competizione ha visto la partecipazione di molti più team rispetto agli anni passati; di conseguenza, i premi si sono alzati notevolmente. Solo durante la prima giornata gli hacker hanno vinto un totale di 723.500 dollari, e con la seconda giornata si è arrivati alla cifra finale di 1.300.000 dollari.

In cima alla classifica del secondo giorno di competizione c’è Manfred Paul, ricercatore di sicurezza che il giorno precedente aveva vinto la bellezza di 102.500 dollari per aver individuato e sfruttato una vulnerabilità di Safari. Il secondo giorno di Pwn2Own Paul ha sfruttato una Out Of Bound Write per effettuare una sandbox escape su Mozilla. Sommando i punti del giorno precedente a questi, Paul ha ricevuto il titolo di Master of Pwn, vincendo l’hackathon.

Windows 11 esce un po’ malconcio dalla gara: Marcin Wiązowsk ha individuato un bug di validazione impropria di input sul sistema operativo, riuscendo ad effettuare un’escalation dei privilegi, e anche Gabriel Kirkpatrick è riuscito a compromettere Windows 11 con un’escalation dei privilegi, nel suo caso sfruttando un bug di race condition. Con loro c’è anche Valentina Palmiotti che ha sfruttato una vulnerabilità di aggiornamento improprio del reference count per elevare i privilegi sul sistema.

L’edizione 2024 di Pwn2Own è stata anche la prima ad assistere a un exploit di escape su Docker desktop: il team di STAR Labs SG ha sfruttato due vulnerabilità, una delle quali era un bug di use-after-free. Per questo exploit il team ha vinto 60.000 dollari.

Adesso tocca ai vendor fare la loro parte: da regolamento hanno 90 giorni per sistemare le vulnerabilità segnalate. Riusciranno nell’impresa?

• Master of Pwn, Pwn2Own, vulnerabilità, Zero Day Initiative