Pwn2Own 2023 首日戰(zhàn)報(bào)：安全團(tuán)隊(duì)成功破解 Win11、macOS 等系統(tǒng)，最高獲得 14 萬(wàn)美元賞金

早報(bào)網(wǎng) 3 月 25 日消息，Pwn2Own 2023 目前正在溫哥華進(jìn)行，來(lái)自全球各個(gè)國(guó)家和地區(qū)的安全專家大展神通。在開幕首日，安全專家利用尚未發(fā)現(xiàn)的零日漏洞或者漏洞組合，已成功攻破 Win11、macOS 等系統(tǒng)。

Haboob SA 的 Abdul Aziz Hariri 利用漏洞鏈，成功從 macOS 的沙盒中逃脫，并繞過 API 黑名單實(shí)現(xiàn)入侵。他的這項(xiàng)發(fā)現(xiàn)贏得了 5 萬(wàn)美元（早報(bào)網(wǎng)備注：當(dāng)前約 34.4 萬(wàn)元人民幣）的賞金。

STAR Labs 團(tuán)隊(duì)通過一個(gè)零日漏洞鏈成功入侵 SharePoint，獲得了 10 萬(wàn)美元（早報(bào)網(wǎng)備注：當(dāng)前約 68.7 萬(wàn)元人民幣）賞金。該團(tuán)隊(duì)由于發(fā)現(xiàn)了 Ubuntu 的另一個(gè)漏洞，額外獲得了 1.5 萬(wàn)美元（早報(bào)網(wǎng)備注：當(dāng)前約 10.3 萬(wàn)元人民幣）賞金。

安全專家通過執(zhí)行 time-of-check to time-of-use（TOCTOU）攻擊，成功入侵了一輛特斯拉 Model 3，獲得了 10 萬(wàn)美元（早報(bào)網(wǎng)備注：當(dāng)前約 68.7 萬(wàn)元人民幣）的賞金。該團(tuán)隊(duì)也利用 TOCTOU 方式入侵 macOS，獲得了 4 萬(wàn)美元（早報(bào)網(wǎng)備注：當(dāng)前約 27.5 萬(wàn)元人民幣）賞金。

Marcin Wi?zowski 利用輸入驗(yàn)證零日漏洞提升了 Win11 的權(quán)限，從而獲得了 3 萬(wàn)美元（早報(bào)網(wǎng)備注：當(dāng)前約 20.6 萬(wàn)元人民幣）的獎(jiǎng)金。