Исследователи безопасности, участвующие в конкурсе хакеров Pwn2Own, обнаружили различные уязвимости в операционной системе Microsoft Windows 10 .
В течение первых двух дней мероприятия, проводимого Zero Day Initiative, были выявлены три эксплойта Windows 10 , ни один из которых ранее не был задокументирован.
В первом случае, обнаруженном командой Viettel, использовалась ошибка целочисленного переполнения для повышения привилегий пользователей, и тот же подвиг был проделан исследователем z3ro9 на второй день мероприятия через аналогичную ошибку.
- Вот наш список лучших ноутбуков для бизнеса прямо сейчас
- Ознакомьтесь с нашим списком лучших мобильных рабочих станций в мире
- Мы составили список лучших доступных компьютеров для бизнеса
Наконец, Тао Ян из Palo Alto Networks сумел изменить права обычного пользователя до уровня SYSTEM, воспользовавшись ошибкой Race Condition.
Если бы эти эксплойты использовались в дикой природе, они могли бы позволить злоумышленникам вносить изменения и устанавливать приложения на целевые устройства и получать доступ к чувствительным системам, недоступным для обычных пользователей.
Уязвимости Windows 10
Конкурс Pwn2Own проводится уже 14 лет, за это время он превратился из небольшого мероприятия, посвященного веб-браузерам, в совершенно другого зверя. В этом году участникам доступно более одного миллиона долларов призовых.
За обнаружение соответствующих ошибок в Windows 10 и Ян, и z3ro9 были награждены 40 000 долларов, а также горсткой очков Master of Pwn, которые используются для определения лучшего хакера на выставке.
Однако Windows 10 – не единственный продукт, который был взломан во время мероприятия. Исследователи также обнаружили ошибку несоответствия типов в веб-браузерах Google Chrome и Microsoft Edge, в то время как цепочка эксплойтов с нулевым щелчком использовалась для запуска кода на целевом устройстве через Zoom Messenger.
В последний день мероприятия участники снова нацелятся на Windows 10, а также на Microsoft Exchange, Ubuntu Desktop и Parallels Desktop.
Все поставщики, чьи продукты успешно используются на Pwn2Own, будут проинформированы о проблемах и получат 90 дней на выпуск необходимых исправлений.