Pwn2Own 2024: twee ton en een Tesla voor het kraken van software

Op de jaarlijkse Pwn2Own hacker-wedstrijd hebben beveiligingsonderzoekers lekken blootgelegd in diverse apps en besturingssystemen. Pw2Own wordt georganiseerd door Zero Day Initiative (ZDI), een dochterorganisatie van beveiligingsbedrijf Trend Micro, dat op verantwoorde wijze lekken in software openbaart (zodat de getroffen softwarebedrijven eerst de tijd hebben om een update uit te brengen). De beveiligingsonderzoekers krijgen grote geldbedragen uitgekeerd van de organisatie als zij software weten te kraken. Een overzicht van de gevonden kwetsbaarheden.

Dag 1: 200.000 dollar voor kraken Tesla

Op dag 1 van Pwn2Own 2024 werden Adobe Reader, Windows 11, Google Chrome (2x), Edge, VMware Workstation, Ubuntu, VirtualBox (3x), Tesla ECU (electronic control unit) en Safari gekraakt door de deelnemende professionele beveiligingsonderzoekers uit verschillende landen.

De hack van Tesla ECU leverde de beveiligingsonderzoekers 200.000 dollar en een Tesla Model 3 op. Een tweede aanval op Ubuntu misbruikte een al bekende lek, dus die telde niet mee als een succesvolle poging. Een hack van Microsoft SharePoint mislukte binnen de gestelde tijd.

Dag 2: drie keer Windows 11 gekraakt

Op dag 2 van Pwn2Own werden lekken gevonden in Windows 11 (3x), VMware Workstation, VirtualBox, Firefox, Chrome (2x), Edge (2x) en Docker.

Drie andere hackpogingen op Ubuntu (2x) en Windows 11 maakten gebruik van reeds bekende lekken en telden dus niet mee voor de wedstrijd.

De meeste lekken

Windows 11, Google Chome en VirtualBox werden vier keer gehackt. Edge drie keer en VMware twee keer. Behalve Chrome en Edge werden ook Firefox en Safari gekraakt. Alle grote browser kwamen dus aan de beurt.

Updates

De lekken die geopenbaard zijn op Pwn2Own 2024 zijn gemeld aan de producenten. Als deze de lekken dichtgeplakt hebben dan zullen de specifieke kwetsbaarheden ook openbaar gemaakt worden. De komende weken kunnen gebruikers van de genoemde software dus veel updates verwachten.