รอบชิงชนะเลิศของการแข่งขันแฮกเกอร์ขริยธรรม Pwn2Own จบลงแล้วในวันที่ 8 เมษายน ผลลัพธ์แบ่งเป็น 50% สำเร็จสมบูรณ์ และ 50% ที่เหลือเป็นความสำเร็จบางส่วน (Partial) เหตุการณ์เริ่มต้นเวลา 09:00 น. Benjamin McBride ได้เงินรางวัล $40,000 จากการรันโค้ดบน Host OS จากภายใน Parallels Desktop
เหตุการณ์ 4 ครั้งถัดไป ที่เกี่ยวกับ Microsoft Exchange, Ubuntu Desktop, Windows 10, และ Parallels Desktop ถูกจัดว่าเป็น "Partial Success" เนื่องจากวิธีการและบั๊กที่รายงานนั้นองค์กรเกี่ยวข้องรู้อยู่แล้ว ไม่มีเงินรางวัล แต่ได้คะแนนสู่ Master of PWN จุดไฮไลท์คือ Alisa Esage ผู้หญิงคนแรกที่เข้าร่วมในฐานะนักวิจัยอิสระ โจมตี Parallels Desktop ในหมวด Virtualization
เหตุการณ์สุดท้าย 3 ครั้ง ที่เกี่ยวกับ Ubuntu Desktop, Parallels Desktop และ Windows 10 Desktop สำเร็จทั้งหมดและได้เงินรางวัล Vincent Dehors ได้ $30,000 จากการขยายสิทธิ์เป็น Root บน Ubuntu Desktop ผ่าน Double-free bug ต่อมา Da Lao ได้ $40,000 จาก Guest-to-host via OOB Write ใน Parallels Desktop ชนะเลิศรอบสุดท้ายและทัวร์นาเมนต์คือ Marcin Wiazowski ได้ $40,000 จากการใช้ UAF bug เข้าถึง System บน Windows 10 PC
งานทั้งหมดได้รับการสปอนเซอร์จาก VMware พาร์ทเนอร์รวม Adobe, Zoom, และ Tesla ผู้จัดให้เวลา 90 วันให้ผู้ขาย (Vendor) แก้ไขช่องโหว่ที่รายงาน นี่คือสรุป 3 วัน หากคุณพลาดดู
ลำดับ |
วันที่ | เวลา | เหตุการณ์ | บุคคล/ทีม | สถานะ |
1 |
Apr 6, 2021 | 1000 | Apple Safari | Jack Dates | Success |
| 2 | Apr 6, 2021 | 1130 | Microsoft Exchange | DEVCORE | Success |
3 |
Apr 6, 2021 | 1300 | Microsoft Teams | OV | Success |
4 |
Apr 6, 2021 | 1430 | Windows 10 | Viettel | Success |
5 |
Apr 6, 2021 | 1530 | Parallels Desktop | Star Labs | Failure |
| 6 | Apr 6, 2021 | 1630 | Ubuntu Desktop | Ryota Shiga | Success |
7 |
Apr 6, 2021 | 1730 | Oracle Virtualbox | Star Labs | Failure |
| 8 | Apr 7, 2021 | 0900 | Parallels Desktop | Jack Dates | Success |
9 |
Apr 7, 2021 | 1000 | Google Chrome & Microsoft Edge | Bruno Keith & Niklas BaumStark | Success |
10 |
Apr 7, 2021 | 1130 | Microsoft Exchange | Viettel | Partial |
| 11 | Apr 7, 2021 | 1300 | Zoom Messenger | Daan Keuper & Thijs Alkemade | Success |
| 12 | Apr 7, 2021 | 1430 | Windows 10 | Tao Yan | Success |
13 |
Apr 7, 2021 | 1530 | Parallels Desktop | Sunjoo Park | Success |
| 14 | Apr 7, 2021 | 1630 | Ubuntu Desktop | Manfred Paul | Success |
15 |
Apr 7, 2021 | 1730 | Windows 10 | z3r09 | Success |
| 16 | Apr 8, 2021 | 0900 | Parallels Desktop | Benjamin McBride | Success |
17 |
Apr 8, 2021 | 1000 | Microsoft Exchange | Steven Seeley | Partial |
18 |
Apr 8, 2021 | 1130 | Ubuntu Desktop | Star Labs | Partial |
19 |
Apr 8, 2021 | 1230 | Windows 10 | Fabien Perigaud | Partial |
20 |
Apr 8, 2021 | 1330 | Parallels Desktop | Alisa Esage | Partial |
| 21 | Apr 8, 2021 | 1430 | Ubuntu Desktop | Vincent Dehors | Success |
22 |
Apr 8, 2021 | 1530 | Parallels Desktop | Da Lao | Success |
| 23 | Apr 8, 2021 | 1630 | Windows 10 | Marcin Wiazowski | Success |
เพียงดูตารางข้างต้นก็รู้ว่า จาก 23 เหตุการณ์ มีเพียง 2 ครั้งที่ล้มเหลว (ทีมไม่ทำสำเร็จภายในเวลา) และ 5 Partial Success รวม 16 เหตุการณ์สำเร็จสมบูรณ์ 5 Partial เพราะวิธีการหรือบั๊กที่ใช้รู้จักก่อนการแข่งขันแล้ว
สำหรับผลลัพธ์เต็มและรายละเอียดเพิ่มเติม คลิกที่นี่
จุดที่น่ากลัวคือ หากนับจำนวนความสำเร็จจริง คือ 21 จาก 23 ซึ่งคิดเป็น 91% (รวม Partial) เรื่องนี้ทำให้คิดว่า 「ระบบปฏิบัติการและซอฟต์แวร์ที่เราใช้ 脆弱ต่อแฮกเกอร์ขนาดนี้หรือ?」 ขอให้คิดและแชร์ความคิดเห็นในส่วนความคิดเห็นด้านล่างครับ
