Стартовал
Pwn2Own Ireland 2025 и в первый день соревнований исследователи продемонстрировали 34 уникальные 0-day, заработав 522 500 долл.
Главным событием стал взлом беспроводного Ethernet-маршрутизатора
QNAP Qhora-322 через WAN-интерфейс исследователями
Бонын Ку и Эвангелос Даравигкас из Team DDOS, которые задействовали для этого восемь
нулей. По результатам они получили доступ к сетевому хранилищу
QNAP TS-453E и выиграли 100 000 долл. в качестве вознаграждения.
Команда
Synacktiv, Сина Кхейркха из Summoning Team, команда DEVCORE Team и Стивен Фьюэр из Rapid7 также вынесли по 40 000 долл. каждый, получив root-права на
Synology BeeStation Plus, Synology DiskStation DS925+, QNAP TS-453E и Home Assistant Green соответственно.
Исследователи
STARLabs, Team PetoWorks, Team ANHTUD и Ierae четыре раза взломали МФУ
Canon imageCLASS MF654Cdw, в то время как
STARLabs также смогли похакать смарт-колонку
Sonos Era 300, заработав 50 000 долл.,
Представители
ANHTUD воспользовалась уязвимостью моста
Phillips Hue Bridge и получили 40 000 долл. наличными.
Сина Хейркха и Макколей Хадсон из Summoning Team использовали цепочку эксплойтов, объединяющую две 0-day для получения прав root на устройстве
Synology ActiveProtect Appliance DP320, выиграв еще 50 000 долл.
Команда
Summoning Team выиграла в общей сложности 102 500 долларов за первый день соревнований и
возглавила рейтинг
Master of Pwn с 11,5 очками.
Хакерский конкурс
Pwn2Own Ireland 2025 включает восемь категорий: флагманские смартфоны
(Apple iPhone 16, Samsung Galaxy S25 и Google Pixel 9), мессенджеры, устройства для умного дома, принтеры, сетевое оборудование, сетевые системы хранения данных, оборудование для видеонаблюдения и носимые устройства (включая умные очки
Ray-Ban от Meta и гарнитуры Quest 3/3S).
В этом году
ZDI также расширил векторы атак для мобильных устройств, включив в них использование USB-портов мобильных телефонов. Однако традиционные беспроводные протоколы, Bluetooth, Wi-Fi и NFC также остаются допустимыми векторами атак.
Согласно ранее озвученным заявлениям,
ZDI впервые предлагает вознаграждение в размере 1 млн. долл. тем исследователям, которые продемонстрируют Zero-Click-эксплойт для
WhatsApp, позволяющий выполнять код без взаимодействия с пользователем.
Meta (признана в
России экстремистской) наряду с
QNAP и Synology выступает соорганизатором хакерского конкурса
Pwn2Own Ireland 2025, который стартовал 21 октября в
Корке, Ирландия, и продлится до 24 включительно.
Как обычно, после демонстрации нулей на
Pwn2Own вендорам предоставляется 90 дней на выпуск обновлений, прежде чем
Zero Day Initiative от Trend Micro публично их раскроет.
