Security365 – Trung Tâm Đào Tạo Trực Tuyến Hacker Thiện Chí & Điều Tra Viên Máy Tính theo chuẩn ANSI của NSA và Bộ Quốc Phòng Mỹ

THN / Phiên bản mùa xuân năm 2021 của cuộc thi hack Pwn2Own đã kết thúc vào tuần trước vào ngày 8 tháng 4 với sự kết hợp giữa các nhà nghiên cứu Daan Keuper và Thijs Alkemade của Team Devcore, OV và Computest.

Tổng cộng 1,2 triệu đô la đã được trao cho 16 khai thác nổi tiếng trong suốt ba ngày của sự kiện ảo do Zero Day Initiative (ZDI) tổ chức.

Các mục tiêu có nỗ lực thành công bao gồm hệ điều hành Zoom, Apple Safari, Microsoft Exchange, Microsoft Teams, Parallels Desktop, Windows 10 và Ubuntu Desktop.

Một số điểm nổi bật chính như sau:

• Sử dụng bỏ qua xác thực và leo thang đặc quyền cục bộ để tiếp quản hoàn toàn một máy chủ Microsoft Exchange, mà nhóm Devcore đã kiếm được 200.000 đô la
• Chuỗi một cặp lỗi để thực thi mã trong Microsoft Teams, nhà nghiên cứu kiếm được 200.000 đô là OV
• Khai thác không nhấp chuột nhắm mục tiêu Zoom sử dụng chuỗi ba lỗi để khai thác ứng dụng messenger và thực thi mã trên hệ thống mục tiêu. (200.000 đô la)
• Khai thác lỗ hổng tràn số nguyên trong Safari và ghi ngoài giới hạn để thực thi mã cấp hạt nhân (100.000 đô la)
• Một vụ khai thác nhằm vào công cụ kết xuất JavaScript V8 để hack trình duyệt Google Chrome và Microsoft Edge (Chromium) (100.000 đô la)
• Tận dụng các lỗi sử dụng sau khi không sử dụng , tình trạng cuộc đua và lỗi tràn số nguyên trong Windows 10 để chuyển từ người dùng thông thường lên các đặc quyền HỆ THỐNG (40.000 đô la cho mỗi đặc quyền)
• Kết hợp ba lỗ hổng – rò rỉ bộ nhớ chưa được khởi tạo, tràn ngăn xếp và tràn số nguyên – để thoát khỏi Parallels Desktop và thực thi mã trên hệ điều hành cơ bản ($ 40.000)
• Khai thác lỗi hỏng bộ nhớ để thực thi thành công mã trên hệ điều hành máy chủ từ bên trong Parallels Desktop ($ 40.000)
• Việc khai thác lỗi truy cập ngoài giới hạn để nâng từ người dùng tiêu chuẩn lên root trên Ubuntu Desktop (30.000 USD)

Các lỗ hổng Zoom được khai thác bởi Daan Keuper và Thijs Alkemade của Computest Security là đặc biệt đáng chú ý vì các lỗ hổng này không yêu cầu nạn nhân tương tác ngoài việc là một người tham gia vào một cuộc gọi Zoom. Hơn nữa, nó ảnh hưởng đến cả phiên bản Windows và Mac của ứng dụng, mặc dù không rõ liệu các phiên bản Android và iOS có dễ bị tấn công hay không.

Chi tiết kỹ thuật của các lỗ hổng vẫn chưa được tiết lộ, nhưng trong một tuyên bố chia sẻ kết quả, công ty bảo mật Hà Lan cho biết các nhà nghiên cứu “sau đó đã có thể tiếp quản gần như hoàn toàn hệ thống và thực hiện các hành động như bật camera, bật micrô, đọc email, kiểm tra màn hình và tải xuống lịch sử trình duyệt. “

Khi được phản hồi, Zoom cho biết họ đã đẩy một thay đổi phía máy chủ để vá lỗi, lưu ý rằng họ đang làm việc để kết hợp các biện pháp bảo vệ bổ sung để giải quyết các thiếu sót về bảo mật. Công ty có thời hạn 90 ngày để giải quyết các vấn đề trước khi chúng được công bố rộng rãi.

“Vào ngày 9 tháng 4, chúng tôi đã phát hành bản cập nhật phía máy chủ để bảo vệ chống lại cuộc tấn công được chứng minh tại Pwn2Own trên Zoom Chat”, một phát ngôn viên của công ty nói với The Hacker News. “Bản cập nhật này không yêu cầu người dùng của chúng tôi thực hiện bất kỳ hành động nào. Chúng tôi đang tiếp tục nghiên cứu các biện pháp giảm nhẹ bổ sung để giải quyết đầy đủ các vấn đề cơ bản.”

Công ty cũng cho biết họ không biết bất kỳ bằng chứng nào về việc khai thác tích cực bởi những vấn đề này, trong khi chỉ ra các lỗ hổng không ảnh hưởng đến trò chuyện trong phiên trong Cuộc họp thu phóng và rằng “cuộc tấn công chỉ có thể được thực hiện bởi một liên hệ bên ngoài mà mục tiêu trước đây đã được chấp nhận hoặc là một phần của cùng một tài khoản tổ chức của mục tiêu. “

Nhà nghiên cứu độc lập Alisa Esage cũng đã làm nên lịch sử khi là người phụ nữ đầu tiên giành được Pwn2Own sau khi tìm ra lỗi trong phần mềm ảo hóa Parallels. Nhưng cô ấy chỉ được thưởng một phần vì lý do rằng vấn đề đã được báo cáo cho ZDI trước khi sự kiện diễn ra.

“Tôi chỉ có thể chấp nhận một thực tế là sự tham gia Pwn2Own thành công của tôi đã thu hút sự xem xét kỹ lưỡng đến một số điểm có thể tranh luận và có khả năng lỗi thời trong các quy tắc của cuộc thi”, Esage đã tweet và nói thêm, “Trong thế giới thực không có cái gọi là ‘điểm có thể tranh luận’ . Một khai thác có thể phá vỡ hệ thống mục tiêu hoặc không. “