شهد اليوم الأول من مسابقة Pwn2Own Berlin 2025 إنجازات بارزة في مجال الأمن السيبراني، حيث حصل باحثون أمنيون على جوائز مالية تجاوزت 260 ألف دولار بعد نجاحهم في استغلال ثغرات من نوع Zero-Day في أنظمة Windows 11 وRed Hat Linux وOracle VirtualBox.
الثغرات الأمنية والجوائز الممنوحة:
نظام Red Hat Linux:
- كان أول من تعرض للاختراق في فئة تصعيد الصلاحيات المحلية، حيث استغل فريق DEVCORE Research Team، عبر الباحث الملقب بـ Pumpkin، ثغرة تجاوز سعة عددية (Integer Overflow) لكسب 20,000 دولار.
- لاحقًا، نجح الباحثان Hyunwoo Kim وWongi Lee في الوصول إلى صلاحيات Root من خلال سلسلة استغلال ضمت ثغرة Use-After-Free وتسريب معلومات، ولكن إحدى الثغرات كانت من نوع N-day مما أدى إلى تعارض (Bug Collision).
نظام Windows 11:
- حصل الباحث Chen Le Qi من فريق STARLabs SG على 30,000 دولار بعد استغلاله لسلسلة ثغرات تضمنت Use-After-Free وInteger Overflow لتصعيد الصلاحيات إلى مستوى SYSTEM.
- كما تم اختراق النظام مرتين إضافيتين عبر:
- Marcin Wiązowski الذي استغل ثغرة Out-of-Bounds Write.
- Hyeonjin Choi الذي استعرض ثغرة من نوع Type Confusion Zero-Day.
برنامج Oracle VirtualBox:
- فريق Prison Break حصل على 40,000 دولار بعد نجاحه في الهروب من بيئة VirtualBox باستخدام Integer Overflow وتنفيذ تعليمات برمجية على نظام التشغيل الأساسي.
ثغرات أخرى بارزة:
- الباحث Sina Kheirkhah من فريق Summoning Team حصل على 35,000 دولار بفضل ثغرة Zero-Day في Chroma وأخرى معروفة في خادم Nvidia Triton Inference Server.
- الثنائي Billy وRamdhan من STARLabs SG حصلا على 60,000 دولار بعد اختراق Docker Desktop باستخدام ثغرة Use-After-Free Zero-Day، مما سمح لهم بتنفيذ تعليمات برمجية على النظام المضيف.
معلومات إضافية عن المسابقة:
تُعقد مسابقة Pwn2Own Berlin 2025 خلال مؤتمر OffensiveCon في العاصمة الألمانية برلين، بين 15 و17 مايو. وتركز هذا العام على تقنيات المؤسسات، كما أُضيفت فئة جديدة مخصصة لاختراق أنظمة الذكاء الاصطناعي.
في اليوم الثاني، سيحاول الباحثون اختراق:
- Microsoft SharePoint
- VMware ESXi
- Mozilla Firefox
- Red Hat Enterprise Linux
- Oracle VirtualBox
بعد الكشف عن الثغرات في المسابقة، يُمنح المصنعون 90 يومًا لإصدار التحديثات الأمنية.
تستهدف المسابقة منتجات محدثة بالكامل ضمن فئات متنوعة تشمل: الذكاء الاصطناعي، المتصفحات، الأنظمة الافتراضية، تصعيد الصلاحيات، الخوادم، التطبيقات المؤسسية، الحوسبة السحابية، وأنظمة السيارات. كما يمكن للمشاركين الفوز بجوائز تتجاوز المليون دولار.
ورغم توفر وحدات عرض من سيارات Tesla Model 3 (2024) وModel Y (2025) كأهداف للاختراق، لم يُسجّل أي محاولة لاختراقها في اليوم الأول من المسابقة.
التعليقات ليست متاحة حاليا لهذه المقالة