Pierwszy dzień Pwn2Own Ireland 2025 zakończył się rekordowym początkiem: 34 unikalne luki zero-day, 17 udanych exploitów i brak nieudanych prób — łącznie nagrody o wartości 522 500 USD dla uczestniczących badaczy.
Wydarzenie odbywa się w Cork w Irlandii (21–24 października) i gromadzi najlepszych etycznych hakerów na świecie, którzy demaskują luki w codziennych urządzeniach podłączonych do sieci — od drukarek i routerów po serwery NAS i huby smart home.
Najważniejsze wydarzenia
- Team DDOS (Bongeun Koo i Evangelos Daravigkas): Połączyli osiem exploitów, aby przejąć zestaw routera QNAP Qhora-322 i serwera NAS TS-453E — wypłata 100 000 USD i 10 punktów Master of Pwn.
- Team Neodyme: Odkrył przepełnienie stosu w HP DeskJet 2855e — 20 000 USD.
- Synacktiv: Uzyskał wykonanie kodu z uprawnieniami root na Synology BeeStation Plus — 40 000 USD.
- STARLabs i inni: Wielokrotnie włamywali się do drukarek Canon imageCLASS MF654Cdw, pokazując, jak łatwo można wykorzystać codzienne urządzenia.
- Sina Kheirkhah z Summoning Team: Użył dwóch połączonych błędów, aby przejąć serwer NAS Synology DS925+ — 40 000 USD.
- Stephen Fewer z Rapid7: Połączył SSRF i wstrzykiwanie poleceń, aby przejąć kontrolę nad Home Assistant Green — 40 000 USD.
- Compass Security: Odkrył dowolny zapis plików i wyciek danych na tym samym urządzeniu — 20 000 USD.
- dmdung z STARLabs: Wykorzystał głośnik Sonos Era 300 poprzez dostęp poza granicami pamięci — 50 000 USD.
Klasyfikacja Master of Pwn (dzień 1)
🥇 Summoning Team — 11,5 punktu (102 500 USD)
🥈 Team DDOS — 10 punktów (100 000 USD)
🥉 Synacktiv, Rapid7 i inni — po 4 punkty
Dlaczego to ważne
Zawody pokazują zarówno pomysłowość etycznych hakerów, jak i podatność popularnych urządzeń smart. Producenci otrzymują 90 dni na wydanie poprawek przed ujawnieniem szczegółów, co zapewnia ochronę opinii publicznej.
W tegorocznym Pwn2Own pula potencjalnych nagród wynosi 2 miliony dolarów, w tym 1 milion dolarów za exploita zero-click na WhatsApp, a także pojawiły się nowe cele, takie jak Samsung Galaxy S25 i urządzenia ubieralne Meta.
Perspektywa Alcaeus Services
Wydarzenia takie jak Pwn2Own przypominają, że bezpieczeństwo oparte na przejrzystości i testowaniu jest kluczem do postępu.
W Alcaeus Services pomagamy organizacjom wdrażać polityki odpowiedzialnego ujawniania luk, wzmacniać bezpieczeństwo IoT i włączać ciągłą ocenę podatności do swojej infrastruktury.
