شهد اليوم الثاني من مسابقة Pwn2Own Berlin 2025 إنجازات لافتة من قِبل خبراء الأمن السيبراني، حيث تم الكشف عن مجموعة من ثغرات Zero-Day في عدد من الأنظمة والبرمجيات واسعة الاستخدام، بما في ذلك Microsoft SharePoint وVMware ESXi وOracle VirtualBox وRed Hat Enterprise Linux ومتصفح Mozilla Firefox. وقد بلغت المكافآت المالية التي تم توزيعها خلال اليوم الثاني فقط 435,000 دولار، ليرتفع إجمالي الجوائز خلال اليومين الأولين إلى 695,000 دولار بعد استعراض 20 ثغرة جديدة.
أبرز الهجمات الناجحة في اليوم الثاني:
- Nguyen Hoang Thach من شركة STARLabs SG استغل ثغرة من نوع Integer Overflow في VMware ESXi وحصل على جائزة قدرها 150,000 دولار.
- Dinh Ho Anh Khoa من وحدة الأمن السيبراني في Viettel تمكن من اختراق Microsoft SharePoint عبر سلسلة استغلال تتضمن تجاوز المصادقة وثغرة في فك التسلسل (Insecure Deserialization) ليحصل على 100,000 دولار.
- فريق Edouard Bochin وTao Yan من Palo Alto Networks عرضا ثغرة من نوع Out-of-Bounds Write في Firefox.
- الباحث Gerrard Tai من STARLabs SG نجح في تصعيد الامتيازات إلى صلاحيات الجذر في Red Hat Enterprise Linux من خلال استغلال Use-After-Free.
- فريق Viettel Cyber Security كشف ثغرة أخرى من نوع Out-of-Bounds Write في Oracle VirtualBox مكنته من تنفيذ Guest-to-Host Escape.
الذكاء الاصطناعي يدخل ساحة Pwn2Own لأول مرة
في خطوة جديدة هذا العام، أُضيفت فئة الذكاء الاصطناعي إلى المنافسات، حيث تمكن باحثو Wiz Research من استغلال ثغرة Use-After-Free في Redis، بينما قام فريق Qrious Secure بتسلسل أربع ثغرات لاختراق Nvidia Triton Inference Server.
حول مسابقة Pwn2Own Berlin 2025
تُقام المسابقة ضمن فعاليات مؤتمر OffensiveCon في برلين بين 15 و17 مايو، وتركز على التقنيات الموجهة للمؤسسات. كما تم تخصيص فئات تشمل:
- الذكاء الاصطناعي
- المتصفحات
- الأنظمة الافتراضية
- تصعيد الامتيازات
- الخوادم
- التطبيقات المؤسسية
- الحاويات والسُحب
- السيارات الذكية (Tesla)
رغم إتاحة نماذج من سيارات Tesla Model Y 2025 وModel 3 2024 كأهداف، لم تُسجل أي محاولات لاختراقها في اليومين الأولين.
ما بعد اكتشاف الثغرات
بعد الكشف عن ثغرات يوم الصفر، يُمنح مزودو البرمجيات والأجهزة مهلة 90 يومًا لإصدار تحديثات أمنية قبل أن تقوم مبادرة Zero Day Initiative التابعة لشركة Trend Micro بنشر التفاصيل التقنية.
ابدأ المناقشة في forum.mjbtechtips.com