Pwn2Own 2022多伦多大赛Master of Pwn 诞生

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

从12月6日开始，为期四天的Pwn2Own 2022多伦多大赛落下帷幕。本次大赛共发现63个唯一0day，共发出近百万美元 (989750美元) 的奖励。最终，Master of Pwn 破解冠军被DEVCORE团队以14.25万美元和18.5个积分的战绩收入囊中。比赛结果如下图所示。

回顾下，大赛目标共分7类：

手机
无线路由器
家庭自动化中心
打印机
智能扬声器
NAS设备
SOHO Smashup

大赛赞助商是群晖 (Synology)。厂商有90天的漏洞修复期限。本文将以时间顺序概述比赛情况及结果。

第一天比赛实况

结果	经过
成功	Nettitude 在“打印机”类别中的佳能 imageCLASS MF743Cdw上成功执行栈缓冲区溢出漏洞，获得2万美元奖励金和2个积分点。
	Qrious Secure 公司的研究员Tri Dang 和 Bien Pham 在“路由器”类别中的TP-Link AX1800 WAN接口上执行了两种攻击（认证绕过和命令注入），获得2万美元奖励金和2个积分点。
	Horizon3 AI 在“打印机”类别中的利盟 MC3224i 上成功执行命令注入攻击，获得2万美元奖励金和2个积分点。
	Gaurav Baruah 在“路由器”类别中的群晖RT6600ax上成功执行命令注入攻击，获得2万美元奖励金和2个积分点。
	（1） Interrupt Labs 经历了一些小波折，最终在第三次尝试时，成功在“打印机”类别中的HP Color LaseJet Pro M479fdw 上执行栈缓冲区溢出攻击，获得2万美元奖励金和2个积分点。（2）该团队在“路由器”类别NETGEAR RAX30 AX2400的LAN接口上成功执行两个漏洞（SQL注入和命令注入），获得5000美元奖励和1个积分点。
	STAR Labs 在第三次尝试时，终于在三星Galaxy S22 上成功执行输入不当验证攻击，获得5万美元奖励金和5个积分点。
	Computest 在“路由器”类别中群晖LAN接口上成功执行命令注入根shell 攻击，获得5万美元奖励金和1个积分点。
	Chim 成功在三星Galaxy S22 上执行输入不当验证攻击，获得2.5万美元奖励和5个积分点。
	DEVCORE团队是首个在全新的“SOHO SMASHUP”类别中，成功在Mikrotik 路由器和佳能打印机执行两种不同的栈缓冲区溢出漏洞的团队。他们获得10万美元奖励和10个积分点。
	（1） Claroty Research 团队在“NAS”类别中的群晖DiskStation DS920+ 上成功利用3个漏洞（2个关键函数验证缺失漏洞和1个认证绕过漏洞）实施攻击，获得4万美元奖励和4个积分点。（2）该团队在“路由器”类别中NETGEAR RAX30 AX2400的LAN接口上成功利用5个不同漏洞，获得2.5万美元奖励和1个积分点。
	Viettel 团队在“打印机”类别的 HP Color LaserJet Pro M479fdw 上成功利用2个漏洞（其中1个是命令注入），获得1万美元奖励和2个积分点。
	Neodyme 是在新增“SOHO SMASHUP”类别中获胜的第二支团队，他们利用3个不同漏洞成功在一台NETGEAR路由器和一台HP打印机上成功执行攻击，获得5万美元奖励和10个积分点。
撞洞	ASU SEFCOM 在NAS类别中的群晖 DiskStation DS920+ 上成功执行OOB写攻击，但其中一个利用已公开已知，不过仍然获得1万美元的奖励和2个积分点。
	NCC Group EDG在“路由器”类别中群晖RT6600ax的LAN接口上成功实现命令注入攻击，不过所使用的exploit在大赛早些时候已被利用，最后获得1250美元的奖励和0.5个积分点。
	Qrious Secure团队的研究员 Tri Dang 成功在“路由器”类别中NETGEAR RAX30 AX2400中执行攻击，但由于exploit在大赛早些时候已被用过，因此被判撞洞，获得1250美元的奖励和0.5个积分点。
退出	很遗憾，Quarkslab不得不放弃“路由器”类别中NETGEAR RAX30 AX2400 LAN接口的攻击，被罚扣除0.5个积分点。
退出	NCC Group EDG放弃对“路由器”类别中TP-Link AX1800 LAN接口的攻击，被罚扣除0.5个积分点。
失败	PHPHooligans 在规定时间内，未完成”SOHO SMASHUP”类别中对NETGEAR 路由器和利盟打印机的利用。
失败	Tenable 团队未能在规定时间内完成对“路由器”类别中TP-Link AX1800 LAN接口的利用。

第2天比赛实况

结果	经过
成功	ANHTUD 信息安全部在“打印机”类别中的HP Color LaserJet Pro M479fdw上成功利用两个漏洞（其中一个是栈缓冲区溢出），获得1万美元奖励和2个积分点。
	Qrious Secure 团队的研究员 Toan Pham 和 Tri Dang 利用2个漏洞，成功攻击“智能扬声器”类别中的Sonos One Speaker，获得6万美元奖励和6个积分点。
	（1） Viettel 团队成功在“路由器”类别中的 TP-Link AX1800 的LAN接口上执行了命令注入、Root Shell 攻击，获得5000美元奖励和1个积分点。（2）该团队成功在“打印机”类别中的佳能imageCLASS MF743Cdw 中成功执行栈缓冲区溢出漏洞，获得1万美元奖励和2个积分点。
	NCC Group EDG 在“打印机”类别中的利盟 MC3224i 中执行命令注入攻击，获得1万美元奖励和2个积分点。
	Le Tran Hai Tung 成功在“打印机”类别的佳能 imageCLASS MF743Cdw 上执行OOB写攻击，获得1万美元奖励和2个积分点。
	Synacktive 成功在“打印机”类别中的利盟 MC3224i 上执行命令注入攻击，获得1万美元奖励和2个积分点。
	DEVCORE 团队成功在“打印机”类别的佳能imageCLASS MF743Cdw 上执行基于堆的缓冲区溢出攻击，获得1万美元的奖励和2个积分点。
	Luca MORO (@JOHNCOOL_ _) 成功在“NAS”类别的WD My Cloud Pro系列PR4100上执行缓冲区溢出攻击，获得4万美元奖励和4个积分点。
	Interrupt Labs成功在“移动手机”类别中的三星Galaxy S22上执行输入验证不当攻击，获得2.5万美元奖励和5个积分点。
成功+ 撞洞	Bugscale 利用一个唯一漏洞和另外一个已知漏洞成功发动针对“SOHO SMASHUP”类别中群晖路由器和HP打印机的攻击。该团队获得3.75万美元的奖励和7.5个积分点。
	STAR Labs 利用一个唯一漏洞和另外一个已知漏洞成功攻击“智能扬声器”类别中的 Sonos One Speaker，获得2.25万美元和4.5个积分点。
	NCC Group EDG利用一个唯一漏洞和另外一个Nday，成功攻击“路由器”类别中NETGEAR RAX30 AX2400 WAN接口，获得7500美元和1.5个积分点。
	在最后一次尝试中，Aleksei Stafeev 利用一个唯一的命令注入和另外一个大赛早期发现的漏洞，成功在“打印机”类别中的利盟 MC3224i 上执行攻击，获得7500美元和1.5个积分点。
撞洞	PHPHooligans 在“路由器”类别中的NETGEAR RAX30 AX2400 WAN接口上成功执行2个exploit，不过它们均为大赛此前用过的exploit，获得1万美元奖励和1个积分点。
	Sumoning Team 团队成功对“路由器”类别中的群晖 RT6600ax 的LAN接口发动命令注入攻击。不过他们所使用的exploit是大赛早些时候使用过的，最后获得1250美元和0.5个积分点。
	DEVCORE 团队成功在“打印机”类别中的HP Color LaserJet Pro M479fdw 上执行基于栈的缓冲区溢出漏洞。不过由于所用的利用之前已用过，因此获得5000美元奖励和1个积分点。
失败	Qrious Secure团队未能在规定时间内，在“SOHO SMASHUP”类别中的 NETGEAR 路由器和西部数据NAS 上获得完整的利用。
失败	Bugscale 未能在规定时间内，在“路由器”类别中NETGEAR RAX30 AX2400的WAN接口上执行exploit。
退出	Ledger Dojon 很遗憾退出攻击“路由器”类别中TP-Link AX1800 WAN接口的攻击，被罚1个积分点。

第三天比赛实况

结果	经过
成功	Viettel 团队成功在NAS类别中WD My Cloud Pro系列PR4100 上执行OS命令注入攻击，获得2万美元奖励和4个积分点。
	新人Bun Bo Ong Chi 团队的 Chi Tran 成功在“打印机”类别中佳能imageCLASS MF743Cdw 上执行栈缓冲区溢出攻击，获得1万美元奖励和2个积分点。
	Pentest Limited 组合利用3个漏洞（OS 命令注入、SSRF和不受控的资源消耗），成功在NAS类别的WD My Cloud Pro 系列PR4100上执行攻击，获得2万美元奖励和4个积分点。
	Pentest Limited 第三次尝试后，成功在“移动手机”类别的三星Galaxy S22 上执行输入验证不当攻击，获得2.5万美元奖励和5个积分点。
	R-SEC不仅在“打印机”类别的佳能 imageCLASS MF743Cdw 上执行缓冲溢出攻击，还真的让打印机显示歌手Rick的影像。他们获得1万美元的奖励和2个积分点。
	NCC Group EDG 在“SOHO SMASHUP”类别的优博通和利盟打印机上成功执行2个exploit（命令注入和类型混淆），获得5万美元奖励和10个积分点。
	Claroty Research 团队组合利用5个漏洞，成功在NAS类别的WD My Cloud Pro系列PR4100 上执行攻击，获得2万美元奖励和4个积分点。
成功+ 撞洞	DEVCORE团队通过一个唯一漏洞和一个已知漏洞，成功在‘’智能扬声器“类别中的Sonos One Speaker 上执行栈缓冲区溢出和OOB读攻击，获得2.25万美元奖励和4.5个积分点。
	Viettel 团队成功通过1个唯一漏洞和1个已知漏洞在“SOHO SMASHUP”类别中的思科路由器和佳能打印机上执行攻击。他们获得3.75万美元的奖励和7.5个积分点。
	Qrious Secure 成功通过2个唯一漏洞和1个Nday漏洞在“路由器”类别中的NETGEAR RAX30 AX2400 WAN接口上执行攻击，获得8500美元奖励和1.75个积分点。
撞洞	STAR Labs 第三次尝试时，在“SOHO SMASHUP”类别的群晖路由器和佳能打印机上成功执行攻击，不过所用exploit此前已用于大赛中，为此获得2.5万美元奖励和5个积分点。
撞洞	Peter Geissler (@bl4sty) 成功在“打印机”类别中佳能imageCLASS MF743Cdw上执行攻击。但由于exploit已在大赛中使用，因此获得5000美元奖励和1个积分点。
失败	Qrious Secure 未能在规定时间内，在“移动手机”类别中获得三星 Galaxy S22的exploit。
失败	Neodyme 未能在规定时间内，从“路由器”类别的 NETGEAR RAX30 AX2400 WAN接口上获得exploit。

第4天比赛实况

结果	经过
失败	Quarkslab 未能在规定时间内，使exploit在NETGEAR WAN接口上起作用。
	Peter Geissler未能在规定时间内，使exploit在利盟 MC32424i打印机上起作用。
	Nettitude团队未能在规定时间内，使exploit在NETGEAR WAN接口上起作用。
撞洞	NCC Group 成功在佳能打印机WAN接口上实现代码执行攻击，不过所使用exploit此前出现在大赛中，为此获得5000美元奖励和1个积分点。
	Synacktiv 团队成功通过堆缓冲区溢出漏洞在佳能打印机上执行攻击，然而所使用exploit曾出现在大赛中，因此获得5000美元奖励和1个积分点。
	NCC Group 成功在群晖路由器的WAN接口上执行RCE攻击，但由于所使用exploit此前用于大赛中，因此获得5000美元奖励和1个积分点。
	DEVCORE团队虽然在最后一次尝试攻击利盟打印机时存在撞洞，但获得5000美元和1个积分点后，毫无疑问地成为破解之王！
	Sonar团队成功展示对群晖路由器WAN接口的利用，然而所使用exploit此前出现在大赛中，因此获得5000美元奖励和1个积分点。
成功	Chris Anastasio 成功通过一个基于堆的缓冲区溢出漏洞，利用利盟打印机，获得1万美元奖励和1个积分点。
	ANHTUD信息安全部利用另外一个堆缓冲区溢出漏洞成功利用佳能打印机就，获得1万美元奖励。
	Namnp 团队在佳能打印机上成功显示令人惊讶的比卡丘影响，遗憾的是比卡丘是唯一一个对结果感到惊讶的人。这个唯一漏洞为他们赢得1万美元奖励和1个积分点。