งาน Pwn2Own 2018 จัดขึ้นโดย Trend Micro Zero Day Initiative ที่ CanSecWest Vancouver ได้มีการเปิดเผยช่องโหว่ด้านความปลอดภัยที่มีอยู่ในผลิตภัณฑ์ยอดนิยมเช่น Apple, Microsoft, Mozilla และ Oracle ซึ่งมีแฮกเกอร์จากทั่วโลกเข้ามาค้นหาช่องโหว่ Zero-day จากผลิตภัณฑ์ดังกล่าว
ในวันแรก (14 มีนาคม 2018) Richard Zhu ได้กำหนดเป้าหมายไปที่ Safari ของ Apple เพื่อหลบหลีกการทำงานของ Sandbox แต่ไม่สามารถบรรลุเป้าหมายในเวลาที่กำหนดไว้ 30 นาทีได้ แต่เมื่อเปลี่ยนเป้าหมายเป็นเบราว์เซอร์ Edge ของ Microsoft โดยใช้ประโยชน์จากข้อบกพร่องด้านความปลอดภัยแบบ use-after-free ทำให้ Zhu สามารถแฮ็กเบราว์เซอร์ได้ ได้รับเงินรางวัลจำนวน 70,000 เหรียญ
ในวันเดียวกัน แฮ็กเกอร์จากทีม phoenhex ได้กำหนดเป้าหมายไปที่ Oracle VirtualBox โดยใช้ช่องโหว่ซึ่งทำให้สามารถรันแอปทะลุ virtualization ได้ ทำให้ได้รับเงินรางวัล 27,000 เหรียญ
แฮ็กเกอร์ Samuel Groß จากทีม phoenhex ใช้ช่องโหว่จาก Safari ทะลุไปจนถึง macOS Kernel ได้ โดยช่องโหว่ที่ใช้เป็น JIT Optimization ที่อยู่บนเบราเซอร์ และ Logic bug ของ macOS ทำให้ได้รับรางวัล 65,000 เหรียญ
ในวันที่สอง (15 มีนาคม 2018) Richard Zhu ได้กลับมาโดยการแฮ็ก Firebox โดยใช้ช่องโหว่ out-of-bounds และ integer overflow ใน Windows kernel และรันโค้ดของเขาด้วยการยกระดับสิทธิ์ สำหรับการแฮ็ก Firefox นั้น Zhu ได้รับเงินรางวัลจำนวน 50,000 เหรียญรวมทั้งรางวัล Master of Pwn โดย Zhu ได้รับเงินรางวัลทั้งหมด 120,000 เหรียญจากการแฮก Microsoft Edge และ Firefox
ทีมสุดท้ายคือ MWR Labs กลุ่มแฮกเกอร์ Alex Plaskett, Georgi Geshev และ Fabi Beterke ได้เล็งเป้าหมายไปที่ Apple Safari ด้วยการหลบหลีกการทำงานของ Sandbox โดยใช้ประโยชน์จาก buffer underflow ของ heap ในเบราว์เซอร์และปัญหา stack uninitialized ใน macOS ทำให้ได้รับเงินรางวัล 55,000 เหรียญ และ 5 Master of Pwn points
สำหรับการประกวดสองวันกลุ่มแฮกเกอร์ได้รับรางวัลรวม 267,000 เหรียญ ในขณะที่แฮกเกอร์ค้นพบข้อบกพร่องของ Mozilla 1 รายการ Oracle 2 รายการ Microsoft 4 รายการและข้อบกพร่องของ Apple รายการ
ที่มา : hackread
You must be logged in to post a comment.