Investigadores de seguridad lograron hackear el Samsung Galaxy S23 dos veces durante el primer día del concurso Pwn2Own 2023, centrado en el consumidor, celebrado en Toronto, Canadá. Los participantes demostraron exploits y cadenas de vulnerabilidades dirigidas a Zero-Days en diversos dispositivos, incluyendo teléfonos móviles, impresoras, parlantes inteligentes, NAS y cámaras de vigilancia.
Logros en el Samsung Galaxy S23
Pentest Limited fue el primero en demostrar una vulnerabilidad Zero-Day en el dispositivo insignia Galaxy S23 de Samsung. La explotación se logró mediante la debilidad de la validación de entrada incorrecta, lo que permitió la ejecución del código. Por este logro, el equipo recibió un premio de U$S 50.000 y 5 puntos Master of Pwn.
El equipo de STAR Labs SG también hackeó un Samsung Galaxy S23 aprovechando una lista permisiva de entradas permitidas. Por este logro, el equipo recibió U$S 25.000 y 5 puntos Master of Pwn.
Reglas del concurso
Según las reglas del concurso Pwn2Own Toronto 2023, todos los dispositivos seleccionados ejecutan las últimas versiones del sistema operativo con todas las actualizaciones de seguridad instaladas. ZDI otorgó un total de 438.750 dólares durante el primer día del concurso por 23 vulnerabilidades Zero-Day demostradas con éxito.
Recompensas y dispositivos objetivo
Durante el evento Pwn2Own Toronto 2023 organizado por ZDI de Trend Micro, los competidores pueden apuntar a dispositivos móviles y de IoT. La lista completa incluye teléfonos móviles como Apple iPhone 14, Google Pixel 7, Samsung Galaxy S23 y Xiaomi 13 Pro, así como impresoras, enrutadores inalámbricos, NAS, centros de automatización del hogar, sistemas de vigilancia, dispositivos inteligentes, parlantes y otros.
Las recompensas más altas son para los Zero-Day en la categoría de teléfonos móviles. Los premios en efectivo van hasta 300.000 dólares por hackear el iPhone 14 y 250.000 dólares por el Pixel 7, con más de un millón de dólares disponibles para los concursantes.
La explotación exitosa de dispositivos de Google y Apple también proporciona bonificaciones de U$S 50.000 si las cargas útiles del exploit se ejecutan con privilegios a nivel de kernel, lo que eleva la recompensa máxima posible por un solo desafío a un total de $350.000 para una cadena completa de exploits con acceso a nivel de kernel dirigido al Apple iPhone 14.
Resultados y próximos eventos
El calendario completo del primer día de Pwn2Own Toronto 2023 y los resultados de cada desafío se enumeran en el sitio web oficial. En el segundo día del concurso, el investigador de seguridad Le Xich Long y los hackers de Interrupt Labs volverán a probar el Samsung Galaxy S23.
En marzo, durante el concurso Pwn2Own Vancouver 2023, los investigadores recibieron 1.035.000 dólares y un automóvil Tesla Model 3 por explotar 27 días cero (y varias colisiones de errores) entre el 22 y el 24 de marzo.