در روز دوم مسابقات Pwn2Own ایرلند ۲۰۲۴، هکرهای کلاه‌سفید شرکت‌کننده، ۵۱ آسیب‌پذیری Zero Day چشمگیر را به نمایش گذاشتند و مجموعاً ۳۵۸٬۶۲۵ دلار جایزه نقدی کسب کردند.
Pwn2Own یک مسابقه هک است که در آن محققان امنیتی برای نفوذ به نرم‌افزارها و دستگاه‌های سخت‌افزاری موبایل رقابت می‌کنند تا عنوان ارزشمند “استاد نفوذ” (Master of Pwn) و ۱٬۰۰۰٬۰۰۰ دلار جایزه نقدی و جوایز دیگر را به دست آورند.
در روز دوم مسابقات Pwn2Own، تیم امنیت سایبری Viettel با عملکرد برجسته در چندین دسته‌بندی مختلف، همچنان پیشتاز رقابت برای کسب عنوان “استاد نفوذ” باقی ماند.
دو محقق امنیتی به نام‌های Pham Tuan Son و ExLuck از تیم ANHTUD، با استفاده از یک نوع حمله به نام «سرریز بافر مبتنی بر پشته» موفق شدند به یک چاپگر Canon نفوذ کنند. این موفقیت به آنها ۱۰٬۰۰۰ دلار جایزه و ۲ امتیاز برای کسب عنوان «استاد نفوذ» در مسابقه Pwn2Own اهدا کرد.
Ken Gannon، یکی از محققان امنیتی از گروه NCC، توانست با استفاده از پنج آسیب‌پذیری متوالی، که یکی از آنها عبور از مسیر بوده، به گوشی سامسونگ گلکسی S24 نفوذ کند. او در نتیجه این موفقیت، ۵۰٬۰۰۰ دلار جایزه نقدی و ۵ امتیاز برای رقابت کسب کرد. همچنین، این نفوذ به او امکان نصب یک برنامه و دسترسی به شِل (دستوری سطح پایین در سیستم‌عامل) را در این دستگاه اندرویدی داده است.
Dungdm از تیم امنیت سایبری Viettel با استفاده از یک آسیب‌پذیری استفاده پس از آزادسازی (Use-After-Free) توانست کنترل بلندگوی هوشمند Sonos Era 300 را به دست بگیرد. این نفوذ موفقیت‌آمیز ۳۰٬۰۰۰ دلار به درآمد تیم او افزود و ۶ امتیاز برای عنوان “استاد نفوذ” به آنها اعطا کرد.
دو عضو تیم Cluck به نام‌های Chris Anastasio و Fabius Watson، با استفاده از دو آسیب‌پذیری، که یکی از آنها تزریق CRLF بوده، موفق شدند به دستگاه ذخیره‌سازی تحت شبکه (NAS) مدل QNAP TS-464 دسترسی پیدا کنند. این موفقیت برای آنها ۲۰٬۰۰۰ دلار جایزه نقدی و ۴ امتیاز در رقابت به همراه داشته است.
Corentin BAYET، یکی از محققان تیم Reverse Tactics، موفق به نفوذ به روتر QNAP QHora-322 شد و این نفوذ برای او ۴۱٬۷۵۰ دلار جایزه نقدی و ۸.۵ امتیاز به همراه داشت، با وجود اینکه یکی از سه آسیب‌پذیری که در زنجیره حمله خود استفاده کرده بود، در دورهای قبلی هم استفاده شده و تکراری بود.
تداخل‌ها و شکست‌ها
روز دوم همچنین دارای چندین تداخل بود، به این معنی که همان آسیب‌پذیری توسط محققان دیگر نیز استفاده شد، و همچنین تلاش‌های ناموفق برای هک دستگاه‌ها در زمان مشخص شده.
دو تیم Tenable و Synactiv به دلیل اینکه از آسیب‌پذیری‌های مشابهی (تداخل‌ها) استفاده کرده‌اند، در حین هک دستگاه‌های خاصی (Lorex 2K و Synology BeeStation) جوایز و امتیازهای کمتری کسب کردند. به عبارت دیگر، این تداخل‌ها باعث شده که نتوانند به اندازه کافی از موفقیت‌های خود بهره‌مند شوند.
همچنین، DEVCORE، Rapid7 و Neodyme در اجرای حملات خود در محدوده زمانی با دشواری‌هایی مواجه شدند که منجر به چندین تلاش ناموفق در دستگاه‌هایی مانند Sonos Era 300 و چاپگر Lexmark CX331adwe شد.
با وجود چالش‌ها و مشکلاتی که ممکن است پیش آمده باشد، رقابت در مسابقه Pwn2Own همچنان بسیار جدی و رقابتی باقی مانده و در حال حاضر فقط به نیمه راه رسیده است. همچنین، هنوز دو روز برای شرکت‌کنندگان وجود دارد تا بتوانند در رتبه‌بندی‌ها پیشرفت کنند و امتیاز بیشتری کسب کنند.
تا آن لحظه، محققان توانسته‌اند ۱۰۳ آسیب‌پذیری روز صفر (آسیب‌پذیری‌هایی که قبلاً شناخته نشده‌اند) را شناسایی و مورد استفاده قرار دهند. همچنین، از این تعداد، ۵۲ آسیب‌پذیری در روز اول مسابقه کشف شده و مجموع جوایز نقدی که آنها کسب کرده‌اند، به مبلغ ۸۴۷٬۸۷۵ دلار رسیده است.
