Несмотря на большое количество отклонённых заявок, хакерский конкурс Pwn2Own Berlin, организованный в конце прошлой недели инициативой Zero Day Initiative (ZDI), похоже, прошёл успешно. Благодаря успешным атакам, в том числе на широко распространённую операционную систему Microsoft Windows 11, в итоге было собрано почти 1,3 миллиона долларов США в виде призовых. Занявшая первое место команда Devcore выиграла соревнование с огромным отрывом.
Команда-победительница уже в первый день соревнований (откроется в новом окне) захватила лидерство с общим выигрышем в 205 000 долларов США. 175 000 долларов США пришлись только на одну атаку на Microsoft Edge. Благодаря цепочке из четырёх ошибок Devcore смогла вырваться из песочницы браузера и выполнить код локально.
Ещё 30 000 долларов США Devcore получила за успешное повышение привилегий в Windows 11. На второй день (откроется в новом окне) команда отличилась при атаке на Microsoft Exchange, где были объединены три ошибки для выполнения кода с системными правами. За это было выплачено 200 000 долларов США. В последний день соревнований (откроется в новом окне) Devcore также атаковала Microsoft SharePoint и заработала ещё 100 000 долларов США.
Участники Pwn2Own использовали 47 zero-day-уязвимостей
Таким образом, Devcore завершает соревнование лидером в турнирной таблице с выигрышем в размере 505 000 долларов США. Далее с большим отставанием следуют Starlabs SG с 242 500 долларов США, Out Of Bounds с 95 750 долларов США, Compass Security с 75 000 долларов США и Viettel Cyber Security с 57 500 долларов США. В общей сложности участники Pwn2Own Berlin за все три дня соревнований, используя 47 zero-day-уязвимостей, выиграли 1 298 250 долларов США.
Помимо упомянутых продуктов Microsoft, успешным атакам подверглись в основном инструменты ИИ, решения для виртуализации и операционные системы, включая Nvidia Container Toolkit, Nvidia Megatron Bridge, LiteLLM, OpenAI Codex, Chroma, LM Studio, Red Hat Enterprise Linux for Workstations, Cursor, Ollama, VMware ESXi, а также Anthropic Claude Code и Claude Desktop.
В некоторых случаях происходили коллизии, поскольку используемые уязвимости уже были частью предыдущей хакерской попытки или уже были известны соответствующему производителю иным образом.
Подробности пока держатся в секрете
До публикации подробностей об уязвимостях, использованных на Pwn2Own Berlin, пройдёт ещё некоторое время. Как правило, Zero Day Initiative держит их в секрете и предоставляет производителям 90 дней на исправление своих продуктов. Только после этого уязвимости раскрываются, если к тому времени они не стали известны общественности другим путём.