Il 22 Marzo ha avuto inizio il Pwn2Own 2023 e l’obiettivo di hackerare i sistemi di Tesla Model 3 è stato raggiunto in appena due minuti. In 3 giorni, hacker provenienti da 10 Paesi hanno scoperto più di 22 bug zero-day in un’ampia gamma di tecnologie.
I ricercatori della società di pen-testing Synacktiv, con sede in Francia, hanno dimostrato due exploit distinti contro la Tesla Model 3 questa settimana al concorso di hacking Pwn2Own di Vancouver. Gli attacchi hanno permesso l’accesso ai sottosistemi che controllano la sicurezza del veicolo.
Uno degli exploit prevedeva l’esecuzione di un attacco noto come time-of-check-to-time-of-use (TOCTTOU) al sistema di gestione energetica Gateway di Tesla. I ricercatori hanno mostrato come sia possibile, tra le altre cose, aprire il bagagliaio o la portiera anteriore di una Tesla Model 3 mentre l’auto è in movimento. L’attacco, durato meno di due minuti, è valso ai ricercatori una nuova Tesla Model 3 e una ricompensa in denaro di 100.000 dollari.
Accesso profondo ai sottosistemi Tesla
Nella seconda violazione, i ricercatori di Synacktiv hanno sfruttato una vulnerabilità di heap overflow e un errore di scrittura fuori dai limiti in un chipset Bluetooth per addentrarsi nel sistema di infotainment di Tesla e, così, acquisire i permessi di root ad altri sottosistemi.
L’exploit ha fruttato ai ricercatori una taglia ancora maggiore, pari a 250.000 dollari, e il primo premio Tier 2 di Pwn2Own, una designazione che l’organizzatore del concorso riserva alle vulnerabilità e agli exploit di particolare impatto.
Dustin Childs, responsabile della consapevolezza delle minacce presso la Zero Day Initiative di Trend Micro che organizza il concorso, dichiara:
La più grande vulnerabilità dimostrata quest’anno, è stata sicuramente l’exploit di Tesla. Sono passati da quello che è un componente esterno, il chipset Bluetooth, ai sistemi all’interno del veicolo.
Per non rischiare di hackerare un vero veicolo Tesla, gli hacker hanno dimostrato i loro exploit su un’unità principale isolata del veicolo. Oltre a questi due, ci sono stati molti altri casi in cui diversi hacker hanno violato i sistemi di Tesla sia dentro che al di fuori del concorso, per mostrarne la vulnerabilità.
Una serie di bug Zero-Day
Oltre ai due exploit contro la Tesla Model 3, ci sono state altre scoperte significative. Una di queste è una catena di exploit a due bug in Microsoft SharePoint che ha fruttato a Star Labs, con sede a Singapore, 100.000 dollari di ricompensa.
Altre due sono state, una catena di exploit a tre bug contro Oracle Virtual Box con un Host EoP che ha fruttato ai ricercatori di Synacktiv 80.000 dollari e una catena di due bug in Microsoft Teams che ha fruttato ai ricercatori del Team Viette 75.000 dollari. Grazie alle scoperte di bug, i ricercatori sono riusciti a fruttare un totale di circa 1.000.000 di dollari in premi vinti.
Da quando è stato lanciato nel 2007 come concorso di hacking incentrato in gran parte sulle vulnerabilità dei browser, l’evento Pwn2Own si è evoluto per coprire una gamma molto più vasta di obiettivi e tecnologie, tra cui sistemi automobilistici, ecosistemi mobili e software di virtualizzazione.
All’evento di quest’anno, ad esempio, i ricercatori hanno avuto l’opportunità di trovare vulnerabilità in browser come Chrome, applicazioni aziendali come Adobe Reader e Microsoft Office 365 Pro Plus, tecnologie server come Microsoft Windows RDP/RDS, Microsoft Exchange, Microsoft DNS e Microsoft SharePoint e tecnologie di virtualizzazione come VMware e Oracle Virtual Box.
Un’ampia gamma di obiettivi di hacking
I premi disponibili durante il concorso variavano rispetto alle categorie.
Le vulnerabilità di Windows RDP/RDS ed Exchange, ad esempio, hanno fruttato ricompense fino a 200.000 dollari. Allo stesso modo, i bug di VMware ESXi sono stati premiati con 150.000 dollari, le vulnerabilità di Zoom con 75.000 dollari e i bug di Microsoft Windows 11 con 30.000 dollari.
Le vulnerabilità nella categoria automobilistica, come già si poteva immaginare, hanno fruttato le ricompense più alte con un totale di 500.000 dollari disponibili per i ricercatori che hanno portato alla luce bug nei sistemi di Tesla, tra cui il sistema di infotainment, il gateway e i sottosistemi di autopilota.
I ricercatori hanno avuto l’opportunità di cimentarsi con la Tesla Model 3 e la Tesla S. Coloro che hanno trovato il modo di mantenere la persistenza delle radici nel sistema di infotainment, nel sistema di autopilotaggio o nel sistema CAN bus dell’auto hanno avuto l’opportunità di guadagnare altri 100.000 dollari. L’importo complessivo di 600.000 dollari è il più grande per un singolo obiettivo nella storia di Pwn2Own.
Come si poteva supporre, la categoria dei browser, che nei primi anni di vita del Pwn2Own era il fulcro della competizione, quest’anno non ha suscitato l’interesse di nessun ricercatore.
Childs a riguardo commenta:
Stiamo assistendo allo stesso livello di partecipazione degli anni passati, con l’eccezione della categoria browser. Nessuno si è registrato per questa categoria, e possiamo solo ipotizzarne il motivo.
Finora, nei 16 anni di esistenza dell’evento, i ricercatori hanno scoperto un totale di 530 vulnerabilità critiche in una vasta gamma di tecnologie e hanno fruttato circa 11 milioni di dollari per il loro contributo.
