پایان رویداد Pwn2Own ایرلند با اهداء ۱.۲۶ میلیون دلار جایزه برای کشف ۹۸ آسیب‌پذیری روز صفر

رقابت‌های بین‌المللی هک و امنیت Pwn2Own ایرلند (مهر و آبان ۱۴۰۳) با اعطای مجموع ۱,۲۶۲,۰۰۰ دلار جایزه نقدی به پژوهشگران امنیت سایبری به کار خود پایان داد. در جریان این مسابقات، هکرهای کلاه سفید و تیم‌های تحقیقاتی موفق شدند با اکسپلویت ۹۸ آسیب‌پذیری روز صفر (Zero-Day) در تجهیزات شبکه، سیستم‌های اینترنت اشیاء (IoT)، ابزارهای نظارتی و چاپگرهای چندمنظوره، نفوذپذیری‌های عمیق سخت‌افزارها و نرم‌افزارهای تجاری را به نمایش بگذارند.

ابعاد و آمارهای کلیدی رویداد Pwn2Own ایرلند

رویداد Pwn2Own که توسط موسسه Zero Day Initiative (ZDI) وابسته به شرکت ترند میکرو برگزار می‌شود، یکی از معتبرترین رقابت‌های حوزه امنیت سایبری و نفوذ در جهان است. در این دوره از مسابقات که در شهر کورک ایرلند برگزار شد، تمرکز اصلی بر روی تجهیزات مصرفی حوزه خانه هوشمند، سخت‌افزارهای اداری، ذخیره‌سازهای متصل به شبکه (NAS) و ابزارهای ارتباطی بود. محققان برجسته‌ای از سراسر جهان در قالب گروه‌های امنیتی یا به صورت مستقل، سناریوهای نفوذ خود را روی آخرین نسخه از سیستم‌عامل‌ها و فیرم‌ویرهای به‌روزرسانی‌شده اجرا کردند.

بر اساس گزارش رسمی منتشر شده توسط BleepingComputer، در مجموع ۵۱ زنجیره اکسپلویت موفق در طول این رویداد اجرا شد که منجر به کشف ۹۸ نقص امنیتی جدید گردید. مطابق قوانین مسابقات Pwn2Own، جزئیات کامل تمامی این آسیب‌پذیری‌ها به‌صورت محرمانه در اختیار شرکت‌های سازنده قرار گرفته است تا طی یک مهلت استاندارد ۹۰ روزه، وصله‌های امنیتی (Patches) لازم را برای کاربران نهایی منتشر نمایند.

تحلیل فنی هدف‌های مورد هک و سناریوهای نفوذ

در میان هدف‌های تعیین‌شده در این مسابقه، تجهیزات شبکه و ذخیره‌سازها بیشترین سهم آسیب‌پذیری‌ها را به خود اختصاص دادند. نفوذگران توانستند با ترکیب آسیب‌پذیری‌های مختلف از جمله سرریز بافر (Buffer Overflow)، تزریق دستورات (Command Injection) و دور زدن مکانیزم‌های احراز هویت (Authentication Bypass)، دسترسی در سطح ریشه (Root Access) را روی سخت‌افزارهای هدف به دست آورند.

یکی از درخشان‌ترین اجراها مربوط به نفوذ به تجهیزات ذخیره‌سازی ابری محلی (NAS) از برندهای مطرح نظیر QNAP و Synology بود. پژوهشگران امنیتی موفق شدند با ارسال بسته‌های داده‌ای دستکاری‌شده از طریق پروتکل‌های شبکه و بدون نیاز به داشتن حساب کاربری، کدهای مخرب خود را از راه دور (RCE) روی سیستم‌عامل این دستگاه‌ها اجرا کنند. علاوه بر این، روترهای تجاری و خانگی نیز هدف حملات پیچیده‌ای قرار گرفتند که در آن‌ها نفوذگر توانست با نفوذ به سرویس‌های وب مدیریت دستگاه، کنترل کامل ترافیک شبکه را در دست گیرد.

تیم‌های برتر و قهرمان مسابقات: درخشش Viettel Cyber Security

رقابت برای کسب عنوان «استاد پون» (Master of Pwn) که به فعال‌ترین و موفق‌ترین تیم مسابقات اعطا می‌شود، بسیار فشرده بود. در نهایت، محققان تیم Viettel Cyber Security موفق شدند با کسب مجموع ۳۳ امتیاز و دریافت بیش از ۲۰۰۰۰۰ دلار جایزه نقدی، مقام نخست را به دست آورند. این تیم توانست چندین زنجیره نفوذ پیچیده را روی دستگاه‌های مختلف با موفقیت به اجرا درآورد.

تیم‌های دیگری نظیر DEVCORE و تیم‌های مستقل محققانی از کشورهای مختلف نیز با اکسپلویت چاپگرهای صنعتی HP و Lexmark و همچنین دوربین‌های امنیتی Lorex و Sonoma، مبالغ قابل توجهی جایزه را از آن خود کردند. اهمیت این دستاوردها در آن است که تمام این حملات روی تجهیزاتی با آخرین نسخه رسمی فیرم‌ویر انجام شد که نشان‌دهنده وجود خطاهای بنیادی در طراحی نرم‌افزاری و عدم پیکربندی امن در سطح کدنویسی فیرم‌ویرها است.

تاثیر کشف ۹۸ آسیب‌پذیری بر امنیت اکوسیستم اینترنت اشیاء (IoT)

نتایج Pwn2Own ایرلند بار دیگر چالش‌های عمیق امنیت در حوزه تجهیزات IoT و دستگاه‌های متصل را آشکار ساخت. در حالی که بیشتر سازمان‌ها تمرکز خود را بر امنیت برنامه‌های کاربردی وب و سیستم‌عامل‌های سرور معطوف کرده‌اند، سخت‌افزارهای جانبی و تجهیزات لبه شبکه (Edge Devices) به برداری جذاب برای ورود مهاجمان سایبری تبدیل شده‌اند.

وجود ۹۸ آسیب‌پذیری روز صفر تنها در یک رویداد چهارروزه، زنگ خطری جدی برای توسعه‌دهندگان فیرم‌ویرها است. عدم استفاده از زبان‌های برنامه‌نویسی ایمن از نظر حافظه (مانند Rust)، استفاده از کتابخانه‌های قدیمی و عدم اعتبارسنجی صحیح ورودی‌ها در پروتکل‌های شبکه، از دلایل اصلی موفقیت هکرها در این مسابقه بوده است. فروشندگان تجهیزات اکنون ۹۰ روز فرصت دارند تا پیش از افشای عمومی جزئیات فنی توسط ZDI، به‌روزرسانی‌های امنیتی را برای کاربران ارسال کنند.