Investigadores de seguridad lograron hackear el Samsung Galaxy S23 dos veces
durante el primer día del concurso de Hacking Pwn2Own 2023, centrado en el
consumidor, en Toronto, Canadá.
También hicieron demostraciones de exploits y cadenas de vulnerabilidades
dirigidas a Zero-Days en el teléfono Xiaomi 13 Pro, así como impresoras,
parlantes inteligentes, dispositivos de almacenamiento conectado a la red
(NAS) y cámaras de vigilancia de Western Digital, QNAP, Synology, Canon,
Lexmark y Sonos.
Pentest Limited
fue el primero
en hacer una demostración de Zero-Day en el dispositivo insignia Galaxy S23 de
Samsung explotando la debilidad de la validación de entrada incorrecta para
obtener la ejecución del código, ganando U$S 50.000 y 5 puntos Master of Pwn.
El equipo de STAR Labs SG
también aprovechó
una lista permisiva de entradas permitidas para hackear un Samsung Galaxy S23,
ganando U$S 25.000 (la mitad del premio por la segunda ronda de apuntar al
mismo dispositivo) y 5 puntos Master of Pwn.
«Aunque sólo la primera demostración de una categoría gana el premio
completo en efectivo, cada participación exitosa reclama el número total de
puntos Master of Pwn»,
explican los organizadores. «Dado que el orden de los intentos se determina mediante un sorteo
aleatorio, aquellos que reciban espacios posteriores aún pueden reclamar el
título de Master of Pwn, incluso si obtienen un pago en efectivo menor».
De acuerdo con las
reglas del concurso Pwn2Own Toronto 2023, todos los dispositivos seleccionados ejecutan las últimas versiones del
sistema operativo con todas las actualizaciones de seguridad instaladas.
ZDI otorgó 438.750 dólares durante el primer día del concurso por 23
vulnerabilidades Zero-Day demostradas con éxito.
Más de $1 millón en efectivo y premios
Durante el evento dPwn2Own Toronto 2023 organizado por ZDI de Trend Micro, los
competidores pueden apuntar a dispositivos móviles y de IoT.
La lista completa incluye teléfonos móviles (es decir, Apple iPhone 14, Google
Pixel 7, Samsung Galaxy S23 y Xiaomi 13 Pro), impresoras, enrutadores
inalámbricos, dispositivos de almacenamiento conectado a la red (NAS), centros
de automatización del hogar, sistemas de vigilancia, dispositivos
inteligentes. parlantes y dispositivos Pixel Watch y Chromecast de Google,
todos en su configuración predeterminada y ejecutando las últimas
actualizaciones de seguridad.
Las recompensas más altas son para los Zero-Day en la categoría de teléfonos
móviles, con premios en efectivo de hasta 300.000 dólares por hackear el
iPhone 14 y 250.000 dólares por el Pixel 7, con más de 1.000.000 de dólares en
efectivo disponibles para los concursantes.
La explotación exitosa de dispositivos de Google y Apple también proporciona
bonificaciones de U$S 50.000 si las cargas útiles del exploit se ejecutan con
privilegios a nivel de kernel, lo que eleva la recompensa máxima posible por
un solo desafío a un total de $350.000 para una cadena completa de exploits
con acceso a nivel de kernel dirigido al Apple iPhone 14.
El calendario completo del primer día de Pwn2Own Toronto 2023 y los resultados
de cada desafío se enumeran
aquí.
En el segundo día del concurso, el investigador de seguridad Le Xich Long y
los hackers de Interrupt Labs volverán a probar el Samsung Galaxy S23. En
marzo, durante el concurso
Pwn2Own Vancouver 2023, los investigadores recibieron 1.035.000 dólares y un automóvil Tesla Model
3 por explotar 27 días cero (y varias colisiones de errores) entre el 22 y el
24 de marzo.
Fuente:
BC
Los comentarios están cerrados.