Windows 11 e Linux bucati in poche ore: pioggia di dollari al Pwn2Own 2025!

Si è concluso il primo giorno del Pwn2Own Berlin 2025, competizione di hacking che si svolge dal 15 al 17 maggio nell'ambito della conferenza OffensiveCon. Durante la prima giornata, i ricercatori che hanno dimostrato vulnerabilità zero-day in diversi software di largo utilizzo, tra cui Windows 11, Red Hat Enterprise Linux e Oracle VirtualBox. In totale, nella prima giornata sono stati assegnati premi per 260.000 dollari.

Il team DEVCORE, rappresentato da Pumpkin, è stato il primo a dimostrare un exploit su Red Hat Linux, strappando un assegno da 20.000 dollari. Il ricercatore di sicurezza ha sfruttato una falla integer overflow per ottenere l'elevazione di privilegi locali e accedere a dati sensibili.

Sempre sulla stessa piattaforma, Hyunwoo Kim e Wongi Lee del team Theori hanno ottenuto l'accesso root concatenando una vulnerabilità use-after-free con un'altra falla (information leak). Tuttavia, uno dei bug utilizzati era già noto (N-day), motivo per cui il premio è stato ridotto a 15.000 dollari.

Tre diversi exploit hanno colpito Windows 11: Chen Le Qi di STARLabs SG ha combinato un use-after-free con un integer overflow per ottenere accesso con privilegi SYSTEM, guadagnando 30.000 dollari. Lo stesso premio è stato conferito a Marcin Wiązowski (out-of-bounds write), mentre Hyeonjin Choi ha ricevuto 15.000 dollari per un exploit basato che ha sfruttato un bug "type confusion".

Anche Oracle VirtualBox è stato compromessa: il team Prison Break ha dimostrato un exploit integer overflow per fuggire dalla sandbox ed eseguire codice nel sistema operativo sottostante, ricevendo 40.000 dollari.

Nella nuova categoria dedicata all'intelligenza artificiale, Sina Kheirkhah del team Summoning è stato il primo vincitore della storia del Pwn2Own, sfruttando una vulnerabilità in Chroma per ottenere un premio di 20.000 dollari. Lo stesso ricercatore ha poi dimostrato un secondo exploit, stavolta su NVIDIA Triton Inference Server, ma a causa di un bug già noto è stato ricompensato con 15.000 dollari.

Infine, STARLabs SG ha ottenuto il premio più alto della giornata: Billy e Ramdhan hanno ricevuto 60.000 dollari per aver sfruttato una vulnerabilità use-after-free nel kernel Linux, riuscendo a uscire da Docker Desktop e ad eseguire codice sull'host.

Al momento, STARLabs SG guida la classifica del titolo "Master of Pwn", ma la competizione è ancora aperta. Nella seconda giornata, i ricercatori tenteranno nuovi attacchi a Microsoft SharePoint, VMware ESXi, Mozilla Firefox e altri software enterprise.

I produttori coinvolti avranno ora 90 giorni per correggere le vulnerabilità dimostrate. La competizione prevede un montepremi complessivo superiore al milione di dollari e coinvolge tecnologie nei settori AI, container, browser, server, virtualizzazione e automotive. Nonostante la disponibilità di modelli Tesla 3 e Y come bersagli, non sono stati registrati tentativi su questi dispositivi nella giornata inaugurale.