Важная новость про безопасность оборудования! На международном конкурсе Pwn2Own Ireland 2024 специалисты по кибербезопасности продемонстрировали 38 успешных атак, выявив 0-day уязвимости в современных устройствах. Были взломаны сетевые хранилища данных (NAS), принтеры, IP-камеры и умные колонки, несмотря на их актуальные прошивки и последние обновления. Общая сумма призовых составила $993,625.
Основные результаты соревнований
За четыре дня тестов участники сосредоточились на уязвимостях популярных устройств. Взломы показали, что даже устройства с последними мерами защиты остаются подвержены атакам.
IP-камеры
Уязвимости IP-камер также были активно исследованы. Камера Lorex 2K WiFi была атакована пять раз с использованием переполнения буфера, что принесло командам призы в $30,000 и $15,000. Аналогичная проблема была выявлена у камеры Synology TC500, за взлом которой участники получили $30,000.
Сетевые хранилища (NAS)
Особый интерес вызвали устройства QNAP. Например, модель TS-464 была успешно атакована четырежды. Среди уязвимостей выделялись проблемы, связанные с использованием встроенных криптографических ключей и некорректной проверкой сертификатов. Модель QNAP QHora-322 подверглась атакам шесть раз, включая успешную эксплуатацию SQL-инъекции, за которую команда хакеров получила $100,000.
Принтеры
Принтеры от Lexmark, HP и Canon оказались уязвимы к атакам с использованием переполнения стека и ошибок обработки типов данных. Премии за эти взломы варьировались от $5,000 до $20,000.
Умные колонки
Sonos Era 300 стала объектом трёх успешных атак. Исследователи использовали переполнение буфера и ошибки обращения к освобождённой памяти, что принесло им до $60,000.
Неудачные попытки
Не все атаки завершились успешно. Временные ограничения оказались препятствием для взломов ряда устройств, включая камеры Synology и Lorex, принтеры Canon и Lexmark, а также некоторые модели NAS.
Итоги и последствия
Организаторы подчеркнули, что выявленные уязвимости демонстрируют важность работы над безопасностью современных устройств. Производители получили уведомления о проблемах и 90-дневный срок для выпуска соответствующих патчей. Полные технические детали уязвимостей будут опубликованы позже.
Pwn2Own Ireland 2024 в очередной раз показал критическую важность постоянного тестирования и обновления систем киберзащиты.