Durante o primeiro dia da competição de hackers Pwn2Own 2020, os participantes ganharam um total de US$ 180.000 por invadir o Windows 10, o Ubuntu Desktop e o macOS.
US$ 180 mil por invadir Windows, Ubuntu e macOS
No primeiro dia do Pwn2Own 2020, uma equipe do Laboratório de Segurança e Software da Georgia Tech Systems (@SSLab_Gatech) explorou com êxito uma escalação de privilégios do kernel para executar código no macOS através do Safari. Além disso, a cadeia de ataques envolveu seis vulnerabilidades e permitiu que a equipe ganhasse US$ 70.000.
A página oficial do evento diz:
A equipe do Georgia Tech Systems Software & Security Lab (@SSLab_Gatech) de Yong Hwi Jin (@jinmo123), Jungwon Lim (@setuid0x0_) e Insu Yun (@insu_yun_en) visou o Apple Safari com uma escalada de privilégios no kernel do macOS.
A equipe do Georgia Tech usou uma cadeia de seis bugs para acelerar o processo e escalar até o root. Portanto, eles ganham US$ 70.000 e 7 pontos Master of Pwn.
O popular Team Fluoroacetate (Amat Cama e Richard Zhu), que ganhou edições anteriores, ganhou US$ 40.000 por uma exploração de escalação de privilégios local direcionada ao Windows 10. Além disso, Zhu ganhou outros US$ 40.000 por outra exploração de escalonamento de privilégios direcionada ao Windows 10.
Manfred Paul, da equipe RedRocket CTF, ganhou US$ 30.000 por uma exploração de escalação de privilégios local direcionada ao Ubuntu Desktop.
Por outro lado, no segundo dia do Pwn2Own 2020, os participantes tentarão invadir o Oracle VirtualBox, o VMware Workstation e o Adobe Reader.
O que ocorrerá no segundo dia do evento?
Por fim, abaixo encontra-se a programação do segundo dia do evento:
- 1000 – Phi Ph?m H?ng (@4nhdaden) do STAR Labs (@starlabs_sg) visando o Oracle VirtualBox na categoria Virtualização.
- 1200 – A equipe do Fluoroacetate de Amat Cama e Richard Zhu visando o Adobe Reader com uma escalada de privilégios locais no Windows.
- 1400 – A equipe Synacktiv de Corentin Bayet (@OnlyTheDuck) e Bruno Pujos (@BrunoPujos) visando a VMware Workstation na categoria Virtualização.
- 1600 – Demonstração especial de Lucas Leong, da Zero Day Initiative, contra o Oracle VirtualBox.
Fonte: Security Affairs
