Pwn2Own 2021 terminó con los concursantes que ganaron un récord de $ 1,210,000 por exploits y cadenas de exploits demostradas en el transcurso de tres días. El premio acumulado total para Pwn2Own 2021 fue de más de $ 1,500,000 en efectivo e incluyó un Tesla Model 3. Y una sola mujer participante, Alisa Esage

Durante la competencia de hacking de este año, 23 equipos e investigadores e investigadores de seguridad se enfocaron en múltiples productos en las categorías de navegadores web, virtualización, servidores, escalamiento local de privilegios y comunicaciones empresariales.

• Zerodium triplica el pago del exploit de ejecución remota de código RCE de WordPress - WordPress RCE a $ 300,000 por exploit (generalmente $ 100K). El exploit debe funcionar con la última versión de WordPress, instalación predeterminada, sin complementos de terceros, sin autenticación, sin interacción del usuario.

Si bien ningún equipo se inscribió para hackear un automóvil Tesla este año, los concursantes obtuvieron la ejecución de código y los privilegios escalados en sistemas completamente parcheados después de hackear Windows 10, Microsoft Teams, Microsoft Exchange, Ubuntu Desktop, Google Chrome, Microsoft Edge, Safari y Parallels Desktop. .

La competición terminó con un empate entre Team DEVCORE, OV y Daan Keuper y Thijs Alkemade de Computest, cada uno de ellos ganando $ 200,000 y 20 puntos Master of Pwn.

El equipo DEVCORE logró la ejecución remota de código en un servidor de Microsoft Exchange al encadenar una omisión de autenticación y una escalada de privilegios locales el primer día de Pwn2Own 2021.

El investigador de seguridad conocido como OV en línea demostró la ejecución de código en una máquina que ejecuta Microsoft Teams mediante la combinación de dos errores de seguridad separados.

Por último, pero no menos importante, en el segundo día, Daan Keuper y Thijs Alkemade de Computest obtuvieron la ejecución de código al piratear Zoom Messenger utilizando una cadena de exploits de cero clic que combina tres errores diferentes, una hazaña considerada por muchos como el punto culminante de Pwn2Own 2021.

Los concursantes también hackearon el sistema operativo Windows 10 de Microsoft cuatro veces durante la competencia para escalar a privilegios de SISTEMA de un usuario normal en máquinas completamente parcheadas y demostraron un exploit para un error que Microsoft ya conocía.

También obtuvieron privilegios de root en máquinas de escritorio Ubuntu con parches completos dos veces y demostraron un tercer exploit que abusó de un error ya conocido por el proveedor.

Después de que las vulnerabilidades se explotan y se informan durante Pwn2Own, los proveedores tienen 90 días para desarrollar y lanzar correcciones de seguridad hasta que Zero Day Initiative las divulgue públicamente.

Los competidores se enfrentan a una configuración básica, estandarizada y parcheada del sistema al que se dirigen, configurada para ellos en un hardware que no eligieron ellos mismos, y tienen solo 20 minutos para completar su ataque durante la competencia.

Eso significa que hay muy poco tiempo para ajustar, adaptar, repensar y reescribir el código durante la parte cronometrada del evento en sí, por lo que este es realmente un escaparate para una investigación meticulosa, una preparación escrupulosa, un ensayo cuidadoso ...

Si dos equipos aparecen con el mismo exploit, y ambos exploits tienen éxito dentro del tiempo asignado, entonces el ganador no es el que puede demostrar que lo encontró primero durante su fase de investigación, sino el que acaba de obtener el ranura de demostración anterior en el sorteo.

Tradicionalmente, el evento norteamericano Pwn2Own ha tenido lugar junto con la conferencia anual de seguridad CanSecWest celebrada en Vancouver, Canadá, pero este año la ciudad anfitriona oficial fue Austin, Texas.

Por razones obvias, los equipos de hacking reales se distribuyeron por todo el mundo, en lugar de viajar todos para reunirse en un solo lugar.

Los resultados completos para 2021 se pueden encontrar en el blog de Pwn2Own, incluidos los que lo intentaron pero fallaron, o los que lo intentaron pero no ganaron dinero porque ya se conocía una parte de su cadena de exploits.

• https://www.zerodayinitiative.com/blog/2021/4/2/pwn2own-2021-schedule-and-live-results

En algunos casos, los competidores perdieron porque sus hazañas habían sido informadas al proveedor antes de la competencia por otra persona, pero aún no se habían revelado públicamente; en otros casos, perdieron simplemente por la mala suerte de obtener un puesto posterior en la competencia que otros participantes que habían traído y explotado los mismos errores.

Hemos enumerado las entradas ganadoras de dinero a continuación. Tenga en cuenta que el premio en metálico de este año ascendió a un total de $ 1,21 millones.

También se ha demostrado un ataque exitoso para los navegadores con tecnología Chromium: Google Chrome y Microsoft Edge, de estos se pagó un bono de $ 100,000 por crear un exploit que permite ejecutar código cuando abre una página especialmente diseñada en Chrome y Edge (se creó un exploit universal para los dos navegadores).

En el caso de esta vulnerabilidad se menciona que está previsto que la corrección se publique en las próximas horas, mientras que solo se sabe que la vulnerabilidad está presente en el proceso es responsable de procesar el contenido web (renderizador).

Por otra parte, fueron pagados 200 mil dólares en Zoom y se demostró que se puede hackear la aplicación Zoom al ejecutar un código enviando un mensaje a otro usuario, sin necesidad de ninguna acción por parte del destinatario. El ataque utilizó tres vulnerabilidades en Zoom y una en el sistema operativo Windows.

También se dio una bonificación de $ 40,000 por tres operaciones exitosas de Windows 10 en las cuales se demostraron vulnerabilidades relacionadas con el desbordamiento de enteros, acceso a memoria ya liberada y condiciones de carrera que permitieron obtener privilegios del SISTEMA).

Otro de los intentos que se demostró, pero que en este caso no tuvo éxito fue para VirtualBox, el cual quedo dentro de las recompensas junto con Firefox, VMware ESXi, cliente Hyper-V, MS Office 365, MS SharePoint, MS RDP y Adobe Reader que permanecieron sin reclamar.

La jerarquía de premios se ve así:

•     $ 200k para la ejecución de código en un servidor o plataforma de mensajería
•     $ 100k para la ejecución de código a través de un navegador
•     $ 40k por romper un sistema operativo invitado virtualizado en el sistema operativo host
•     $ 40k por "obtener root" (más correctamente, SYSTEM) en Windows 10
•     $ 30k por "obtener root" en Linux

En caso de que se lo esté preguntando, EoP a continuación es la abreviatura de elevación de privilegios, lo que significa exactamente lo que dice: no lo lleva a un sistema en primer lugar, pero lo lleva al nivel de superpotencia una vez que está en .

Particpant                    Platform            Pwnership level   Prize
----------------------------  ------------------  ----------------  --------
DEVCORE                       Microsoft Exchange  Server takeover   $200,000
'OV’                          Microsoft Teams     Remote code exec  $200,000
Daan Keuper/Thijs Alkemade    Zoom Messenger      Remote code exec  $200,000
Bruno Keith/Niklas Baumstark  Chrome and Edge     Remote code exec  $100,000
Jack Dates                    Apple Safari        Kernel code exec  $100,000
Jack Dates                    Parallels Desktop   Escape to host     $40,000
Sunjoo Park                   Parallels Desktop   Escape to host     $40,000
Dao Lao                       Parallels Desktop   Escape to host     $40,000
Benajmin McBride              Parallels Desktop   Escape to host     $40,000
Team Viettel                  Windows 10          EoP to SYSTEM      $40,000
Tao Yan                       Windows 10          EoP to SYSTEM      $40,000
'z3r09’                       Windows 10          EoP to SYSTEM      $40,000
Marcin Wiazowski              Windows 10          EoP to SYSTEM      $40,000
Ryota Shiga                   Ubuntu Desktop      EoP to root        $30,000
Manfred Paul                  Ubuntu Desktop      EoP to root        $30,000
Vincent Dehors                Ubuntu Desktop      EoP to root        $30,000
                                                           =================
                                                           TOTAL  $1,210,000