Pwn2Own Ireland: 73 חולשות יום אפס, Galaxy S25 נפרץ פעמיים והדגמת WhatsApp בוטלה
ב-Pwn2Own Ireland 2025, ב-21 עד 23 באוקטובר, שילמה ZDI 1,024,750 דולר על 73 חולשות יום אפס. בין היעדים: Galaxy S25, מכשירי NAS, מדפסות ומכשירי בית חכם.
TL;DR בקצרה
- בתחרות בקורק שבאירלנד, ב-21 עד 23 באוקטובר 2025, הוענקו 1,024,750 דולר על 73 חולשות יום אפס ייחודיות.
- Samsung Galaxy S25 נפרץ בשתי הצלחות נפרדות, וכל אחת הניבה 50 אלף דולר.
- הדגמת ה-WhatsApp שהוצעו עליה מיליון דולר בוטלה, כשצוות Z3 משך את ההגשה.
- היעדים כללו NAS של Synology ושל QNAP, Philips Hue Bridge, Sonos Era 300 ומדפסות של Canon, HP ו-Lexmark.
ב-Pwn2Own Ireland 2025, שהתקיימה בקורק שבאירלנד ב-21 עד 23 באוקטובר, חשפו חוקרים 73 חולשות יום אפס ייחודיות וקיבלו 1,024,750 דולר. את התחרות מפעילה ZDI, זרוע חולשות האבטחה של Trend Micro. היעדים כללו טלפונים, מכשירי NAS, נתבים, מדפסות ומכשירי בית חכם. אלה מוצרים שנמצאים בבתים ובמשרדים קטנים.
Pwn2Own Ireland: מה הצליחו לפרוץ בשלושה ימים
ב-21 באוקטובר חילקה ZDI 522,500 דולר על 34 חולשות ייחודיות. עד 22 באוקטובר הסכום עמד על 792,750 דולר ועל 56 חולשות. עם סיום האירוע ב-23 באוקטובר הגיעו הסכום והמספר ל-1,024,750 דולר ו-73 חולשות. ב-2024 חילקה ZDI 1,066,625 דולר על מעל 70 חולשות.
הפרס הגדול ביום הראשון, 100 אלף דולר, הלך לקבוצת DDOS. היא פרצה לשני מוצרי QNAP יחד: הנתב Qhora-322 והאחסון TS-453E. הם השתמשו בשמונה חולשות. קבוצות אחרות פרצו ל-NAS של Synology, ל-Home Assistant Green, ל-Philips Hue Bridge ולרמקול Sonos Era 300. ה-Sonos הניב 50 אלף דולר למי שפרץ אותו דרך חולשת גישה מחוץ לתחום.
חוקרים פרצו גם למדפסות של Canon, HP ו-Lexmark. הם פרצו גם למצלמת האבטחה Ubiquiti AI Pro ולשקע חכם של Amazon. אחת הקבוצות, ANHTUD, אמרה ל-ZDI ש-ChatGPT עזר לה לפרוץ את Home Assistant Green. בחלק מההגשות המשתתפים השתמשו בחולשות שכבר הוצגו, וה-ZDI קראה לכך התנגשות. הם קיבלו פרס חלקי.
Galaxy S25 ו-WhatsApp: הכוכבים של Pwn2Own Ireland
חוקרים פרצו לטלפון Samsung Galaxy S25 פעמיים. ביום השני, צוות של Mobile Hacking Lab ו-Summoning Team שרשר חמש חולשות וקיבל 50 אלף דולר. ביום השלישי, חוקרי Interrupt Labs ניצלו חולשת אימות קלט. היא אפשרה להם להפעיל את המצלמה ואת המעקב אחר המיקום. גם הם קיבלו 50 אלף דולר. חוקר אחר, מ-Qrious Secure, לא הצליח להשלים את הניסיון בזמן.
ב-2025 Meta הצטרפה כשותפה, ו-ZDI הציעה מיליון דולר על חולשת WhatsApp שלא דורשת קליק וגורמת להרצת קוד. ההגשה בוטלה: ZDI כתבה שצוות Z3 משך את השתתפותו. לפי Security Affairs, הסיבה היא שהחוקר Eugene לא היה מוכן להצגה פומבית. הוא גם חתום על הסכם סודיות שמונע ממנו לדבר על הנושא.
ביום השלישי נוסף גם ניסיון נגד Meta Quest 3S, אבל הוא נכשל. החוקרים הצליחו רק לגרום להשבתת השירות ולא להרצת קוד. כפי שציינה ZDI באירוע, צוות Summoning Team זכה בתואר Master of Pwn.
המקור המלא: הדיווח ב-Zero Day Initiative.
מה זה אומר עבורכם
- עדכנו את הטלפון: אם יש לכם Galaxy S25, התקינו את עדכוני האבטחה של Samsung כשהם מגיעים.
- חזקו את ה-NAS: עדכנו את הקושחה של Synology או QNAP. אל תחשפו את ממשק הניהול לאינטרנט, וכבו גישה מרחוק שאינכם צריכים.
- הפעילו עדכון אוטומטי בבית החכם: זה חל על גשרי Philips Hue, על Home Assistant, על Sonos ועל שקעים חכמים.
- הפרידו מדפסות: עדכנו מדפסות של Canon, HP ו-Lexmark, והציבו אותן ברשת אחרת ממחשבי העבודה.
- עסקים, מפו נכסים: רשמו אילו מכשירים רשתיים יש במשרד והירשמו להתראות אבטחה של היצרנים שלהם.
מה הלאה
לפי כללי התחרות, ZDI מעבירה ליצרנים את החולשות שהחוקרים חושפים. פוסטי ZDI לא כוללים פרטים טכניים מלאים או מועדי תיקון. כל יצרן יפרסם עדכונים בנפרד, והרשימה הזו עוזרת לדעת אחרי אילו מוצרים לעקוב. האירוע הבא של ZDI הוא Pwn2Own Automotive בטוקיו, ב-21 עד 23 בינואר 2026.
מקורות והרחבה
- Pwn2Own Ireland 2025: Day Three and Master of PwnZero Day Initiative
- Pwn2Own Ireland 2025: Day One ResultsZero Day Initiative
- Pwn2Own Ireland 2025 - Day Two ResultsZero Day Initiative
- Summoning Team won Master of Pwn as Pwn2Own Ireland Rewards $1,024,750Security Affairs
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
