На соревновании Pwn2Own 2014 продемонстрированы взломы Chrome, Chrome OS, Firefox, IE, Safari и Flash

Подведены итоги соревнования Pwn2Own 2014, проведённого в рамках конференции CanSecWest в Ванкувере. На соревновании были продемонстрированы рабочие техники эксплуатации ранее неизвестных уязвимостей, которые привели к успешному выполнению кода атакующего в системе. Мероприятие получилось как никогда насыщенным победами - за два дня соревнований в сумме было выплачено 850 тысяч долларов вознаграждений за демонстрацию 14 успешных атак. Наиболее ярко отличилась команда из компании Vupen, которая продемонстрировала 5 успешных атак и заработала на них 400 тысяч долларов.

• Продемонстрирована одна успешная атака на браузер Chrome, за которую выплачена премия в размере 100 тысяч долларов. Демонстрация второй атаки не была завершена успешно, но за разработанную технику автору выплачено вознаграждение в размере 60 тысяч долларов. Примечательно, что компания Google по горячим следам уже выпустила обновление браузера Chrome 33.0.1750.154, в котором устранила четыре опасные уязвимости, сочетание которых позволило обойти многоуровневую систему защиты.

  Например, в первой атаке была использована уязвимость (Use-after-free в движке Blink), позволяющая обойти ограничения sandbox, в сочетании с уязвимостью в реализации буфера обмена Windows. Во второй атаке была задействована проблема, приводящая к выходу за пределы буфера в движке V8, в сочетании с ошибкой, позволяющей осуществить произвольные операции записи и чтения в ФС.

• В отдельном соревновании Pwnium, спонсируемом Google, были представлены две атаки на Chrome OS. Первая атака впервые за время существования соревнования привела к возможности сохранить данные атакующего между перезагрузками, при эксплуатации уязвимости в гостевом режиме через открытие специально оформленной страницы в Web. Победителю вручена премия в 150 тысяч долларов. В процессе атаки были задействованы четыре новые уязвимости, из которых одна признана критической.

  Вторая атака была представлена на уровне концепции и была основана на применении двух новых уязвимостей, которые приводили к повреждению памяти в буфере GPU и возможности записи данных за пределы буфера в драйвере GPU. Автору техники атаки вручена премия в размере 60 тысяч долларов.

• Продемонстрированы четыре успешные атаки на Firefox, создатели которых получили премии в размере 50 тысяч долларов.
• Две успешные атаки были подготовлены для Apple Safari, за первую выплачена премия в 65 тысяч долларов, а за вторую 32.5 тысячи долларов.
• Взлом Internet Explorer был продемонстрирован три раза, создатели эксплоитов получили две премии по 100 тысяч долларов и одну в 50 тысяч долларов.
• Две успешные атаки были показаны для Adobe Flash и одна для Adobe Reader, авторы эксплоитов получили премии по 75 тысяч долларов.

Во всех случаях атаки были совершены при обработке в браузере специально оформленной web-страницы (или открытие документа в Adobe Reader), открытие которой завершилось получением полного контроля над системой. При демонстрации атаки использовались самые свежие стабильные выпуски браузеров и операционных систем со всеми доступными обновлениями в конфигурации по умолчанию. В соответствии с условиями конкурса, детальная информация о всех продемонстрированных 0-day уязвимостях будет опубликована только после выпуска производителями обновлений с устранением указанных уязвимостей.

Интересно, что на соревновании не обошлось без казусов. В частности, было проведено мероприятие PWN4FUN, участниками которого выступили организаторы Pwn2Own - Google и HP. Представители Google продемонстрировали успешную атаку на Apple Safari (атака позволила не только выполнить код при открытии в браузере страницы с эксплоитом, но и поднять свои привилегии до пользователя root в OS X), а HP - на Internet Explorer. Вырученные от победы средства были направлены в фонд Красного креста. В связи с этим были высказаны претензии, что Google и HP знали о критических уязвимостях на протяжении определённого времени и вместо того, чтобы сразу после их обнаружения сообщить своим конкурентам о выявленных проблемах, они дождались конкурса, затянув исправление проблем, которые потенциально могли обнаружить злоумышленники. Представители Google и HP опровергли данные подозрения, указав, что заблаговременно уведомили компании Apple и Microsoft о проблемах.