PWN2OWN Miami 2022, 19 Nisan - 21 Nisan tarihleri arasında ICS ve SCADA ürünlerini hedefleyen ICS ve SCADA ürünlerini hedef alan 26 sıfır günü istifi (ve birkaç hata çarpışması) 400.000 dolar kazandıran rakiplerle sona erdi.
Güvenlik araştırmacıları birden fazla üretim kategorisini hedef aldı: Kontrol Sunucusu, OPC Unified Mimarlık (OPC UA) sunucusu, Veri Ağ Geçidi ve İnsan Makinesi Arayüzü (HMI).
Trend Micro'nun Sıfır Günü Girişimi (ZDI) bugün, "Katılan tüm rakiplere tekrar teşekkürler" dedi.
Diyerek şöyle devam etti: "Katılımcı satıcılara işbirlikleri ve yarışma boyunca açıklanan hatalar için düzeltmeler sağladıkları için de teşekkürler."
PWN2OWN sırasında sömürülen güvenlik açıkları bildirildikten sonra, ZDI kamuya açıklanana kadar satıcılara 120 gün boyunca yamalar serbest bırakmaları için verilir.
PWN2OWN MIAMI 2022 etkinliğinin kazananları Daan Keuper (@Daankeuper) ve THijs Alkemade (@xnyHps), Bilgisayar Sektör 7'den (@sector7_nl).
Birinci gün boyunca, eksik bir kimlik doğrulama zayıflığı kullanarak endüktif otomasyon ateşleme SCADA Control Server çözümü üzerine kod çalıştırdıktan sonra 20.000 $ kazandılar.
Aynı gün, AVEVA Edge HMI / SCADA yazılımında uzaktan kod yürütülmesi (RCE) kazanmak için kontrolsüz bir arama yolu güvenlik açığı kullandılar ve çabaları için 20.000 dolar verildi.
İkinci günde, En Düşük Sektör 7, birleşik otomasyon C ++ demo sunucusuna karşı bir DOS durumunu tetiklemek için sonsuz bir döngü koşulu sömürdü ve 5.000 dolar kazandı.
Son fakat en az değil, pwn2own Miami 2022'nin ikisinde, ekibin OPC Vakfı OPC UA .NET standardındaki güvenilir uygulama kontrolünü atladı ve Ödüller Stash'larına 40.000 dolar ekledi.
Yarışmanın üç gününde toplam 90.000 dolar kazandıktan ve toplam 90 puan ile ilk noktayı toplam 90.000 dolar kazandıktan sonra PWN unvanını kazandılar.
Bu yılki Pwn2own Miami, Miami South Beach'teki S4 Konferansı'nda şahsen gerçekleşti ve aynı zamanda uzaktan katılmaya izin verdi.
ICS-temalı PWN2own Miami'nin ilk baskısı sırasında, Ocak 2020'de geri tuttu, ZDI, ICS ve SCADA ürünlerinde 24 benzersiz sıfır gün güvenlik açıkları için 280.000 dolar verdi.
Aşağıdaki OPC Vakfı OPC UA .NET standardını hedefleyen En Düşük Sektör 7 (@ sector7_nl) ekibi izleyebilirsiniz.
ZDI, "Bir pwn2own'da gördüğümüz daha ilginç hatalardan birini sömürmek" denemelerini açıkladı.
ABD Endüstriyel Kontrol Sistemlerini Hedefleyen Govt Hacker'ın Uyarıları
Honeypot Deneyi, Hacker'ların iot cihazlarından ne istediğini ortaya koyuyor
2021 yılında en sıfır günün arkasındaki Çin bilgisayar korsanları
Yeni Bulunan NSO Casus Yazılım Saldırılarında Kullanılan SIFIR-Click iPhone Exploit
Google Chrome Acil Durum Güncellemesi Saldırılarda Kullanılan Sıfır Gününü Düzeltmeler
Kaynak: Bleeping Computer