Pwn2Own 2023: hackean Samsung Galaxy S23 y Xiaomi 13 Pro

 

Investigadores de seguridad lograron hackear el Samsung Galaxy S23 dos veces durante el primer día del concurso de Hacking Pwn2Own 2023, centrado en el consumidor, en Toronto, Canadá.

También hicieron demostraciones de exploits y cadenas de vulnerabilidades dirigidas a Zero-Days en el teléfono Xiaomi 13 Pro, así como impresoras, parlantes inteligentes, dispositivos de almacenamiento conectado a la red (NAS) y cámaras de vigilancia de Western Digital, QNAP, Synology, Canon, Lexmark y Sonos.

Pentest Limited fue el primero en hacer una demostración de Zero-Day en el dispositivo insignia Galaxy S23 de Samsung explotando la debilidad de la validación de entrada incorrecta para obtener la ejecución del código, ganando U$S 50.000 y 5 puntos Master of Pwn.

El equipo de STAR Labs SG también aprovechó una lista permisiva de entradas permitidas para hackear un Samsung Galaxy S23, ganando U$S 25.000 (la mitad del premio por la segunda ronda de apuntar al mismo dispositivo) y 5 puntos Master of Pwn.

"Aunque sólo la primera demostración de una categoría gana el premio completo en efectivo, cada participación exitosa reclama el número total de puntos Master of Pwn", explican los organizadores. "Dado que el orden de los intentos se determina mediante un sorteo aleatorio, aquellos que reciban espacios posteriores aún pueden reclamar el título de Master of Pwn, incluso si obtienen un pago en efectivo menor".

De acuerdo con las reglas del concurso Pwn2Own Toronto 2023, todos los dispositivos seleccionados ejecutan las últimas versiones del sistema operativo con todas las actualizaciones de seguridad instaladas.

ZDI otorgó 438.750 dólares durante el primer día del concurso por 23 vulnerabilidades Zero-Day demostradas con éxito.

Más de $1 millón en efectivo y premios

Durante el evento dPwn2Own Toronto 2023 organizado por ZDI de Trend Micro, los competidores pueden apuntar a dispositivos móviles y de IoT.

La lista completa incluye teléfonos móviles (es decir, Apple iPhone 14, Google Pixel 7, Samsung Galaxy S23 y Xiaomi 13 Pro), impresoras, enrutadores inalámbricos, dispositivos de almacenamiento conectado a la red (NAS), centros de automatización del hogar, sistemas de vigilancia, dispositivos inteligentes. parlantes y dispositivos Pixel Watch y Chromecast de Google, todos en su configuración predeterminada y ejecutando las últimas actualizaciones de seguridad.

Las recompensas más altas son para los Zero-Day en la categoría de teléfonos móviles, con premios en efectivo de hasta 300.000 dólares por hackear el iPhone 14 y 250.000 dólares por el Pixel 7, con más de 1.000.000 de dólares en efectivo disponibles para los concursantes.

La explotación exitosa de dispositivos de Google y Apple también proporciona bonificaciones de U$S 50.000 si las cargas útiles del exploit se ejecutan con privilegios a nivel de kernel, lo que eleva la recompensa máxima posible por un solo desafío a un total de $350.000 para una cadena completa de exploits con acceso a nivel de kernel dirigido al Apple iPhone 14.

El calendario completo del primer día de Pwn2Own Toronto 2023 y los resultados de cada desafío se enumeran aquí.

En el segundo día del concurso, el investigador de seguridad Le Xich Long y los hackers de Interrupt Labs volverán a probar el Samsung Galaxy S23. En marzo, durante el concurso Pwn2Own Vancouver 2023, los investigadores recibieron 1.035.000 dólares y un automóvil Tesla Model 3 por explotar 27 días cero (y varias colisiones de errores) entre el 22 y el 24 de marzo.

Fuente: SeguInfo