Первый день Pwn2Own 2021: взломали Windows 10, Microsoft Exchange, Teams

Первый день Pwn2Own 2021: взломали Windows 10, Microsoft Exchange, Teams

Первый день Pwn2Own 2021: взломали Windows 10, Microsoft Exchange, Teams

В первый же день Pwn2Own 2021, знаменитого конкурса для хакеров, участникам удалось взломать операционную систему Windows 10, почтовый сервер Microsoft Exchange и платформу Microsoft Teams с помощью известных уязвимостей. Это принесло исследователям $440 000.

Первым «поддался» почтовый сервер Microsoft Exchange — команда Devcore смогла добиться удалённого выполнения кода, связав две уязвимости: обход аутентификации и локальное повышение прав. Этот метод принёс исследователям $200 000.

Далее за дело взялся специалист под ником OV, успешно выполнивший код в Microsoft Teams. Для этого OV задействовал две разные бреши. Организаторы конкурса также выплатили эксперту $200 000.

После этого команда Viettel попробовала пробить саму операционную систему — Windows 10. Повысив права обычного пользователя до SYSTEM, исследователи заработали $40 000.

Однако на Pwn2Own 2021 взламывали не только продукты Microsoft. Например, Джек Дейтс из RET2 Systems получил $100 000 за выполнение кода на уровне ядра в операционной системе macOS. Для этого специалист использовал баги в браузере Apple Safari, допускающие запись за пределами границ.

А исследователь из компании Flatt Security тем временем добился root-привилегий на десктопе с установленной Ubuntu, что принесло ему $30 000.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Польский регулятор обвинил Apple в сборе данных при запрете на отслеживание

Польский антимонопольный регулятор обвинил Apple в том, что корпорация якобы вводит пользователей в заблуждение относительно уровня конфиденциальности, который предоставляет функция App Tracking Transparency (ATT). По мнению ведомства, Apple может использовать пользовательские данные даже тогда, когда человек запретил отслеживание.

Как пишет Reuters, Apple с обвинениями не согласна и заявляет, что давление регуляторов может вынудить её вовсе отключить эту функцию для пользователей в ЕС.

Это уже не первый конфликт компании с европейскими правилами. ЕС требует, чтобы Apple обеспечивала равные условия для сторонних разработчиков: если у Apple есть доступ к определённым данным, то и конкуренты должны иметь возможность получать аналогичную информацию.

Apple, в свою очередь, утверждает, что доступ к данным у неё организован так, чтобы приватность пользователей соблюдалась максимально, и она не может гарантировать, что сторонние компании будут действовать так же.

Последний пример — ситуация с Apple Watch. Часы могли получать историю Wi-Fi подключений с привязанного iPhone, но другие производители — нет. Вместо того чтобы раскрыть эти данные, Apple отключила функцию в моделях для ЕС.

Претензии к App Tracking Transparency

ATT требует, чтобы приложения спрашивали разрешение на отслеживание пользователя. Если человек говорит «нет», разработчики не могут использовать рекламный идентификатор устройства.

Польский регулятор полагает, что Apple якобы продолжает собирать данные для показа таргетированной рекламы в своих сервисах, например в App Store, независимо от согласия пользователя.

Глава UOKiK Томаш Хростный заявил, что политика ATT «могла ввести пользователей в заблуждение относительно уровня защиты персональных данных и одновременно дала Apple конкурентное преимущество».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru