El primer día de la competencia de hacking Pwn2Own Berlín 2025, investigadores de seguridad lograron demostrar exploits Zero-Day en sistemas operativos como Windows 11, Red Hat Linux y Oracle VirtualBox, obteniendo recompensas que oscilaron entre U$S 20.000 y U$S 60.000.
Red Hat Enterprise Linux: primer objetivo caído
El sistema Red Hat Enterprise Linux para estaciones de trabajo fue el primero en ser explotado, dentro de la categoría de escalamiento de privilegios locales. El equipo de investigación DEVCORE, representado por Pumpkin, logró ganar U$S 20.000 al explotar una vulnerabilidad relacionada con un desbordamiento de enteros.
Hyunwoo Kim y Wongi Lee también obtuvieron acceso root en Red Hat Linux mediante la combinación de un uso después de la liberación y una fuga de información. Sin embargo, debido a que una de las vulnerabilidades explotadas fue un día N, se produjo una colisión de errores.
Windows 11: dos veces hackeado
El sistema operativo Windows 11 fue objetivo en dos ocasiones. Chen Le Qi de STARLabs SG recibió U$S 30.000 por una cadena de exploits que combinaba un uso después de la liberación y un desbordamiento de enteros para escalar privilegios a SYSTEM.
Marcin Wiązowski logró obtener privilegios de SYSTEM mediante una vulnerabilidad de escritura fuera de límites, mientras que Hyeonjin Choi demostró un día cero de confusión de tipos. Ambas explotaciones fueron reconocidas y recompensadas.
Oracle VirtualBox y otros sistemas
El equipo Prison Break obtuvo U$S 40.000 tras demostrar una cadena de exploits que permitió escapar de Oracle VirtualBox y ejecutar código en el sistema operativo subyacente mediante un desbordamiento de enteros.
Sina Kheirkhah, del equipo Summoning, recibió otros U$S 35.000 por un día cero de Chrome y una vulnerabilidad ya conocida en el servidor de inferencia Triton de Nvidia. Por su parte, Billy y Ramdhan, de STARLabs SG, obtuvieron U$S 60.000 al escapar de Docker Desktop y ejecutar código en el sistema operativo subyacente mediante un Zero-Day de uso después de la liberación.
Próximos desafíos
La competencia, que se celebrará del 15 al 17 de mayo durante la Conferencia OffensiveCon, incluirá una categoría dedicada a tecnologías de inteligencia artificial. En el segundo día, investigadores intentarán explotar vulnerabilidades Zero-Day en Microsoft SharePoint, VMware ESXi, Mozilla Firefox, Red Hat Enterprise Linux para estaciones de trabajo y Oracle VirtualBox.
Edouard Bochin y Tao Yan de Palo Alto Networks demostraron una explotación exitosa contra Firefox mediante una vulnerabilidad de escritura fuera de límites relacionada con un objeto Promise de JavaScript. Esta vulnerabilidad fue identificada como CVE-2025-4918, permitiendo el acceso no autorizado a la memoria y posiblemente la ejecución de código o bloqueo del navegador.
Manfred Paul explotó el renderizador de Firefox mediante un desbordamiento crítico de enteros, identificado como CVE-2025-4919. Esta falla se originó en un error de cálculo del índice de una matriz de JavaScript, lo que podría provocar lecturas o escrituras fuera de los límites y escalada de privilegios.
Paul recibió U$S 50.000 y 5 puntos Master of Pwn por su vector de ataque creativo y preciso.
Recompensas y plazos
Los proveedores tendrán 90 días para publicar correcciones de seguridad tras la demostración y divulgación de las vulnerabilidades Zero-Day durante Pwn2Own.
Los participantes se centrarán en productos con todos los parches en las categorías de IA, navegadores web, virtualización, escalada de privilegios locales, servidores, aplicaciones empresariales, nube nativa/contenedores y automoción. Podrán ganar más de 1.000.000 de dólares en efectivo y premios.
Aunque las unidades Tesla Model 3 2024 y Tesla Model Y 2025 estaban disponibles como objetivos, no se registró ningún intento antes de que comenzara la competencia.