La deuxième édition de Pwn2Own Miami a lancé des dizaines d’exploits jusque-là inconnus sur les systèmes de contrôle industriels, rapportant aux chercheurs en sécurité des paiements de 400 000 $ dans le processus.
Pwn2Own Miami a suivi un format similaire aux concours de piratage plus établis de l’initiative Zero Day de Trend Micro, mais avec un accent différent sur les systèmes de contrôle industriels (ICS) plutôt que sur les ordinateurs ou les appareils mobiles.
À la fin de l’événement de trois jours, Daan Keuper (@daankeuper) et Thijs Alkemade (@xnyhps) de l’équipe Informatique Secteur 7 ont été couronnés Master of Pwn avec 90 points et 90 000 $.
D’autres chercheurs et chasseurs de primes de bogues ont démontré avec succès des vulnérabilités zero-day jusque-là inconnues dans les plates-formes de contrôle industrielles lors de l’événement, que les organisateurs ont salué comme un succès sans réserve.
Dustin Childs, responsable des communications pour le programme ZDI de Trend Micro, a déclaré La gorgée quotidienne: « Le concours de cette année a été trois jours de grandes recherches mises en valeur. Nous avons accordé 400 000 $ pour 26 exploits uniques.
« Notre concours inaugural a attribué 280 000 $, c’était donc formidable de voir le concours se développer – surtout après avoir été retardé en raison de la pandémie. »
Une variété d’attaques intelligentes et subtiles contre les systèmes de contrôle industriels ont été développées et présentées pendant l’événement.
Sur le front de la sécurité Web, Sam Thomas, directeur de recherche au cabinet de conseil en sécurité britannique Pentest, était tout droit sorti du rap le premier jour en démontrant un contournement d’authentification et un bogue de désérialisation pour obtenir l’exécution de code sur le Logiciel de contrôle SCADA Inductive Automation Ignition Plate-forme.
Le concours a été un exercice valable pour les participants, selon Thomas.
Thomas Raconté La gorgée quotidienne: « Comme toujours [it was] un concours amusant avec des objectifs intéressants. [ I was] chanceux d’être tiré en premier, mais il semble qu’il n’y avait pas beaucoup de doublons sur cette cible particulière, ce qui est intéressant à voir, espérons-le [I will] possibilité de trouver autre chose pour l’année prochaine.
D’autres chercheurs ont séparé une variété d’autres plates-formes, comme détaillé dans un délabrement complet du concours organisé par ZDI.
A NE PAS MANQUER Hack Me, I’m Famous : Bug Bounty hackathon nets chercheur en sécurité 10 000 € du jour au lendemain
Childs a déclaré : « L’un des faits saillants a été le contournement de la vérification des applications de confiance dans la norme OPC Foundation OPC UA .NET par l’équipe Computest. Non seulement le bogue a un large impact, mais c’est l’une des meilleures soumissions que nous ayons jamais vues lors d’un événement Pwn2Own.
« D’autres qui se sont démarqués étaient le dépassement de mémoire tampon utilisé par Claroty Research contre Kepware KEPServerEx et le bogue de double libération utilisé par Axel ‘0vercl0k’ Souchet contre Iconincs Genesis64 », ont-ils ajouté.
D’autres éditions de l’édition axée sur l’ICS de la liste plus large de Pwn2Own sont en préparation. Trend Micro ZDI a dit La gorgée quotidienne qu’il souhaitait créer une dynamique derrière l’événement en persuadant davantage de fournisseurs de systèmes de contrôle industriels de s’impliquer plus étroitement.
« Nous avons vu des exploits incroyables, et je sais que les fournisseurs travaillent déjà dur pour développer des correctifs pour les bogues que nous leur avons divulgués », a déclaré Childs.
« Nous sommes satisfaits de la croissance que nous avons constatée cette année et nous aimerions qu’elle se poursuive. Idéalement, nous pouvons nous associer à davantage de fournisseurs au sein de la communauté ICS/SCADA pour nous assurer que nous avons les bonnes cibles et leur fournir les meilleurs bugs possibles à corriger avant qu’ils ne soient exploités par des acteurs malveillants.