微软团队,Windows 11在Pwn2Own的第一天被黑

发布时间:2022-05-20 08:35

在 Pwn2Own Vancouver 2022 的第一天,参赛者在成功利用 16 个零日漏洞入侵多个产品(包括微软的 Windows 11 操作系统和 Teams 通信平台)后赢得了 800,000 美元。

在 Hector Peralta 利用不正确的配置漏洞之后,第一个倒下的是企业通信类别中的 Microsoft Teams。

STAR Labs 团队(Billy Jheng Bing-Jhong、Muhammad Alifa Ramdhan 和Nguyễn Hoàng Thạch)还展示了一个包含 2 个错误(注入和任意文件写入)的零点击漏洞利用链。

微软团队第三次被 Masato Kinugawa 入侵,他利用了注入、错误配置和沙盒逃逸的 3-bug 链。

他们每个人都因成功展示他们的 Microsoft Teams 零日漏洞而赚取了 150,000 美元。

STAR Labs 在使用 Use-After-Free 弱点提升运行 Windows 11 的系统的权限后还额外赚取了 40,000 美元,并通过在 Oracle Virtualbox 上实现权限提升额外赚取了 40,000 美元。

Manfred Paul ( @_manfp ) 还成功演示了 2 个漏洞(原型污染和不正确的输入验证)来破解 Mozilla Firefox 并在 Apple Safari 上进行带外写入以赚取 150,000 美元。

Pwn2Own 首日的其他亮点包括 Marcin Wiązowski、Sea Security 团队 Orca 和 Keith Yeo 在 Windows 11 和 Ubuntu Desktop 中展示更多零日漏洞,

Manfred Paul ( @_manfp ) 演示了两个 Mozilla Firefox 零日漏洞
第二天,Pwn2Own 的竞争对手将尝试在 Tesla Model 3 信息娱乐系统(带有 Sandbox Escape)和诊断以太网(带有 Root Persistence)、Windows 11 和 Ubuntu Desktop 中利用零日漏洞。

在 Pwn2Own 期间演示和披露安全漏洞后,软件和硬件供应商有 90 天的时间为所有报告的漏洞开发和发布安全修复程序。

在 Pwn2Own Vancouver 2022 竞赛期间,安全研究人员将针对 Web 浏览器、虚拟化、本地权限升级、服务器、企业通信和汽车类别中的产品。

在 5 月 18 日至 5 月 20 日期间,他们将能够赚取超过 1,000,000 美元的现金和奖品,其中包括一辆特斯拉 Model 3 和一辆特斯拉 Model S。破解特斯拉的最高奖金现在是 600,000 美元(也许还有汽车本身) )。

在破解汽车的基于 Chromium 的信息娱乐系统后,Fluoroacetate 团队是第一个在 2019 年温哥华 Pwn2Own 上驾驶特斯拉 Model 3 回家的人。

客户热线:037125966675