В первый день Pwn2Own 2024 взломали Windows 11, Tesla и Ubuntu Linux

В первый день Pwn2Own 2024 взломали Windows 11, Tesla и Ubuntu Linux

В первый день Pwn2Own 2024 взломали Windows 11, Tesla и Ubuntu Linux

В первый день соревнования Pwn2Own 2024 для хакеров, походящего в Ванкувере, специалисты успели продемонстрировать эксплуатацию уязвимостей нулевого дня (0-day) в Windows 11, Tesla и Ubuntu Linux.

Ивент начался с того, что специалист Haboob SA Абдул Азиз Харири задействовал эксплойт для уязвимости в Adobe Reader, с помощью которого можно обойти ограничения API и выполнить код в macOS.

За демонстрацию вектора атаки Азиз Харири получил 50 тысяч долларов от организаторов.

Затем компания Synacktiv выиграла Tesla Model 3 и 200 тысяч долларов за взлом электронного блока управления автомобилем. С помощью целочисленного переполнения специалисты справились с задачей менее чем за 30 секунд.

После этого настал черёд VMware Workstation VM , которой занялись эксперты компании Theori Гвангун Юнг и Джуно Ли. Они заработали 130 тысяч долларов за выполнение кода с правами SYSTEM в Windows с помощью переполнения буфера, бреши в UAF и бага неинициализированной переменной.

Исследователи из Reverse Tactics принесли компании $90 тысяч за эксплуатацию двух уязвимостей в Oracle VirtualBox, позволяющих выйти за пределы виртуальной машины и повысить права до SYSTEM.

В конце первого дня Pwn2Own Vancouver 2024 Манфред Пол продемонстрировал атаку на браузеры Apple Safari, Google Chrome и Microsoft Edge. Эксплуатация трёх 0-day помогла специалисту заработать 102 500 долларов.

Подпишитесь на новости

Российские сертификаты хотят предустанавливать на смартфоны

Установил приложение, получил в довесок ещё и российский корневой сертификат. Ассоциация банков России предложила Минцифры сделать установку сертификатов Национального удостоверяющего центра обязательной на смартфонах, связав её с установкой или обновлением российских мобильных приложений.

Письмо ассоциации изучил РБК, подлинность документа подтвердили в АБР. Причина — проблемы с доступом к банковским сайтам после отзыва зарубежных TLS-сертификатов.

Браузеры предупреждают о небезопасном соединении или блокируют переход. Сертификаты НУЦ должны помочь открывать веб-версии банков в Chrome, Safari и Edge.

По данным ассоциации, с жалобами клиентов из-за отзыва сертификатов сталкивалась каждая вторая кредитная организация. В банке «Держава» рассказали, что в первые дни трудности с самостоятельной настройкой возникли примерно у 10% клиентов.

Поэтому АБР предлагает сразу несколько вариантов: единый удобный установщик для популярных ОС, установку через «Госуслуги» одной кнопкой и предустановку сертификатов производителями компьютеров и смартфонов.

Минцифры подтвердило получение письма и сообщило о разъяснительной работе с банками. Как именно реализовать обязательную установку и какие действия останутся за пользователем, в пересказе инициативы не уточняется.

RSS: Новости на портале Anti-Malware.ru