Trong ngày thứ ba cũng là ngày cuối cùng của cuộc thi hack Pwn2Own 2022 diễn ra ở Vancouver, các hacker mũ trắng và nhà nghiên cứu bảo mật đã hack thành công hệ điều hành Windows 11 thêm 3 lần nữa bằng cách khai thác các lỗ hổng zero-day.

Team DoubleDragon mở đầu ngày thứ ba bằng màn trình diễn khai thác Microsoft Teams. Tuy nhiên, họ đã thất bại do không thể trình diễn phương thức khai thác trong thời gian quy định.

Trong khi đó, tất cả những hacker mũ trắng tiếp theo đều hạ gục mục tiêu của họ và kiếm được tổng cộng 160.000 USD tiền thưởng. Windows 11 bị hack 3 lần còn Ubuntu Desktop bị hack 1 lần trong ngày.

Màn hình diễn khai thác lỗ hổng của nghiadt12

nghiadt12 là hacker đầu tiên trình diễn tấn công leo thang đặc quyền nhắm vào Windows 11. Hacker mũ trắng tới từ Viettel Cyber Security này đã thực hiện thành công nhờ khai thác lỗ hổng Integer Overflow.

Tiếp theo, hacker Bruno Pujos tới từ nhóm REverse Tactics và hacker Việt vinhthp1712 cũng thực hiện thành công một cuộc tấn công leo thang đặc quyền bằng cách khai thác các lỗ hổng Use-After-Free và Improper Access Control tương ứng.

Cuối cùng, chuyên gia bảo mật Billy Jheng Hing-Jhong của STAR Labs trình diễn thành công cách khai thác Ubuntu Desktop qua lỗ hổng Use-After-Free.

Pwn2Own 2022 Vancouver đã kết thúc với 17 cuộc khai thác thành công. Tổng cộng, các hacker mũ trắng và nhà nghiên cứu bảo mật đã nhận được 1.1550.000 USD cho các chuỗi khai tác và khai thác zero-day họ trình diễn trong ba ngày sau 21 lần thử.

Trong ngày đầu tiên của Pwn2Own, các hacker đã giành được 800.000 USD sau khi khai thác thành công 16 lỗ hổng zero-day để hack nhiều sản phẩm bao gồm hệ điều hành Windows 11 và nền tảng giao tiếp Microsoft Teams của Windows 11, Ubuntu Desktop, Apple Safari, Oracle Virtualbox và Mozilla Firefox.

Trong ngày thứ 2, các hacker tiếp tục kiếm được 195.000 USD sau khi trình diễn khai thác các lỗ hổng trong Hệ thống Thông tin Giải trí của xe Tesla Model 3, Ubuntu Desktop và Windows 11.

Trong cuộc thi này, các nhà nghiên cứu đã sáu lần hack thành công Windows 11, hai lần được thực hiện bởi những nhân tài của Việt Nam. Ubuntu Desktop bị hack 4 lần, Microsoft Teams bị hack 3 lần. Ngoài ra, họ cũng báo cáo nhiều lỗ hổng trong Apple Safari, Oracle Virtualbox và Mozilla Firefox.

Sau khi các lỗ hổng được khai thác và báo cáo tại Pwn2Own, các nhà cung cấp có 90 ngày để phát hành những bản vá bảo mật. Sau thời hạn đó, người phát hiện lỗ hổng có quyền công khai thông tin về lỗ hổng dựa trên sáng kiến Zero Day Initiative của Trend Micro.

Microsoft tuyên bố rằng bảo mật là một trong những trọng tâm của Windows 11 nhưng có vẻ như mọi thứ vẫn chưa đi theo những gì mà gã khổng lồ này mong muốn.

(Tham khảo QTM).