O torneio de hackers Pwn2Own Tokyo 2019, tradicionalmente realizada como parte da conferência PacSec e organizado pela Iniciativa Dia Trend Micro Zero (PENSAR), Chegou ao fim.
Tsua é uma das duas competições anuais Pwn2Own hackers. A primeira é realizada na América do Norte na primavera e se concentra exclusivamente em navegadores de hackers, sistemas operacionais, soluções de servidores, e máquinas virtuais. A segunda é realizada em Tóquio no outono e é dedicado a tecnologia móvel. além do que, além do mais, Ano passado, os organizadores do Pwn2Own, pela primeira vez expandiu a fase de outono para incluir dispositivos da Internet das coisas para casas inteligentes."Este ano, a competição foi o maior torneio Pwn2Own em Tóquio, com três grupos concorrentes para oito produtos originais em sete categorias. A premiação foi $ 750,000 em dinheiro e prêmios disponíveis para os participantes, e, Claro, não um concurso Pwn2Own poderia fazer sem a coroação de Master of Pwn (Esfregão) e a atribuição do casaco MoP cobiçado”, – Dizer organizadores do Pwn2Own Tokyo 2019.
prémio da competição foi $750,000 este ano, ea lista de metas para Pwn2Own Tóquio foi o seguinte:
smartphones:
- Xiaomi Mi 9
- Samsung Galaxy S10
- Huawei P30
- Google Pixel 3 XL
- A Apple iPhone XS Max
- Oppo F11 Pro
dispositivos portáteis:
- A Apple Series Assista 4
- Oculus quest (64Gb)
Automação residencial:
- Portal pelo Facebook
- Amazon Eco Mostrar 5
- Google Ninho Hub Max
- Camera Amazon Cloud Cam Segurança
- Nest Cam QI Indoor
aparelhos de TV
- Sony X800G Series – 43″
- Samsung Q60 Series - 43″
routers:
- TP-Link AC1750 inteligente WiFi Router
- NETGEAR Nighthawk inteligente WiFi Router (R6700)
no primeiro dia da competição, o fluoroacetate foi uma equipe de liderança, consistia extremamente Cama e Richard Zhu. Esta equipa venceu as duas últimas competições Pwn2Own (Em março 2019 e novembro 2018) e Kama e Zhu são atualmente considerado um dos melhores hackers do mundo e os participantes Pwn2Own mais bem sucedidos. este ano, especialistas comprometida com sucesso a coluna Amazon Eco, e com sucesso cortado Sony e Samsung TVs inteligentes, eo smartphone Xiaomi MI9.
como um resultado, fluoroacetate ganhou $15,000 para cortar o Sony X800G TV, um JavaScript para fora dos limites erro de leitura no navegador embutido. Um invasor pode usar esse bug para obter uma shell no dispositivo, convencer a vítima a visitar um site malicioso através da TV está embutido no navegador.
A mesma equipe ganhou outra $60,000 para tomar o controlo de um dispositivo de eco de Amazon, que foi implementado através de integer overflow. Outro $15,000 veio de obter um shell reverso na Samsung Q60 TV, também realizado por meio de transbordamento inteiro.
além do que, além do mais, Kama e Zhu ganhou $20,000 quando eles foram capazes de extrair a imagem do smartphone Xiaomi MI9, simplesmente por ir a um site especialmente criado. Eles receberam outra $30,000 por roubar imagens do Samsung Galaxy S10 via NFC.
além do que, além do mais, Equipe Flashback recebeu $5,000 para uma cadeia que permite a execução de código no roteador TP-Link AC1750 inteligente WiFi através da interface LAN explorar.
A última equipe representada Labs F-Secure e tentaram invadir o router TP-Link eo smartphone Xiaomi MI9. Ambas as tentativas foram apenas parcialmente bem sucedida, mas eles ainda ganhou $20,000 para hackers. Especialistas têm mostrado que eles podem extrair uma foto de um smartphone Xiaomi, mas o fabricante já sabia algumas das vulnerabilidades que eles usaram.
no segundo dia da competição, dos sete tentativas de invasão planejadas, quatro foram completamente bem sucedida.
A melhor coisa novamente foi a equipe fluoroacetate, que ganhou $50,000 para download de um arquivo arbitrário para o Samsung Galaxy S10 (através da ligação do dispositivo à sua estação de base fraudulenta). Kama e Zhu também fez uma segunda tentativa de cortar o Galaxy S10 através de um navegador, mas usaram uma vulnerabilidade que já foi utilizado pelo participante anterior.
como um resultado, Zhu e Kama ganhou um total de $195,000 em dois dias Pwn2Own, e pela terceira vez consecutiva foram declarados vencedores da competição, recebendo o título de Master of Pwn.
Ribeiro e Domansky da equipe Flashback ganhou $20,000 para cortar o TP-Link AC1750 através de uma interface WAN. O mesmo router foi cortado pela equipe Labs F-Secure, que também ganhou $20,000. Ambas as equipes foram capazes de executar código arbitrário no dispositivo.
Leia também: organizadores Pwn2Own vai oferecer aos participantes cortar de sistemas ICS
A equipe de F-Secure também recebeu $30,000 para explorar uma segmentação do Xiaomi MI9. Eles usaram vulnerabilidade de XSS na componente NFC para extrair dados, simplesmente tocando uma etiqueta NFC especialmente criado.
No total, em dois dias, participantes Pwn2Own foram capazes de ganhar $315,000 para a exploração 18 diferentes vulnerabilidades, e todos eles já foram divulgados para os fabricantes. Agora vendedores têm 90 dias para corrigir deficiências.
