El evento Pwn2Own Vancouver 2024 registró una serie de hackeos exitosos durante sus dos días de competencia, con múltiples equipos logrando demostrar vulnerabilidades Zero-Day en sistemas operativos como Windows 11, Tesla y Ubuntu Linux. Los participantes podían ganar hasta más de un millón de dólares, incluido un automóvil Tesla Model 3.
Primer día: Demostraciones de vulnerabilidades
Durante el primer día del evento, los concursantes presentaron varias demostraciones de exploits que permitieron obtener control total sobre sistemas operativos y dispositivos. Abdul Aziz Hariri de Haboob SA logró ganar 50.000 dólares al explotar un error en Adobe Reader para obtener ejecución de código en macOS.
Synacktiv obtuvo el Tesla Model 3 y 200.000 dólares tras hackear la ECU de Tesla mediante un desbordamiento de enteros, mientras que Theori ganó 130.000 dólares al escapar de una VM de VMware Workstation para obtener ejecución de código como SYSTEM en Windows.
Reverse Tactics recaudó 90.000 dólares explotando dos errores de Oracle VirtualBox y un UAF de Windows, mientras que Manfred Paul logró ganar 102.500 dólares al piratear los navegadores web Apple Safari, Google Chrome y Microsoft Edge mediante tres vulnerabilidades de día cero.
Resultados del primer día
- DEVCORE obtuvo $30.000 por escalar privilegios a SYSTEM en Windows 11 parcheado, usando un exploit que apuntaba a dos errores incluida una condición de carrera TOCTAU.
- Seunghyun Lee hackeó Google Chrome utilizando una vulnerabilidad UAF para ganar $60.000.
- Kyle Zeng demostró otro exploit LPE en Ubuntu Linux por 20.000 dólares.
- Cody Gallagher ganó 20.000 dólares por una vulnerabilidad de día cero OOB de Oracle VirtualBox.
- Dungdm hackeó VirtualBox de Oracle con una cadena de exploits por 20.000 dólares.
Los proveedores tienen 90 días para lanzar parches tras la revelación de las vulnerabilidades en Pwn2Own, antes de que Trend Micro los revele públicamente.
Segundo día: Más hackeos y premios millonarios
Durante el segundo día del evento, Manfred Paul ganó la edición de este año con 25 puntos Master of Pwn y $202.500 tras explotar una vulnerabilidad de día cero en Mozilla Firefox para obtener RCE.
Otros intentos exitosos incluyeron escalamientos de privilegios en Windows 11, VMware Workstation, Ubuntu Linux y escape de Docker. El equipo de Palo Alto hackeó Chrome y Edge tras derrotar el endurecimiento V8, mientras que ColdEye explotó un error en Oracle VirtualBox para escapar del huésped al host.
Los competidores pueden ganar hasta 500.000 dólares y un Tesla Model 3 por un exploit que brinde control remoto completo con root ilimitada sobre el piloto automático de Tesla, mientras que una vulnerabilidad del kernel de Windows puede otorgar un premio de $300.000 tras un escape exitoso del huésped al host.
El evento también incluyó demostraciones de hackeos en productos completamente parcheados, con énfasis en navegador web, virtualización y sistemas operativos como Windows 11, Ubuntu Linux y Tesla. Los participantes pueden ganar más de un millón de dólares durante la competencia.