На соревновании ZeroDay Cloud продемонстрировано 11 успешных атак на Redis, PostgreSQL, MariaDB и ядро Linux

Поведены итоги соревнований ZeroDay Cloud, проведённых на конференции Black Hat Europe и нацеленных на выявление уязвимостей в открытом ПО, применяемом в облачных окружениях. В ходе мероприятия было продемонстрировано 11 ранее неизвестных уязвимостей в Redis, PostgreSQL, MariaDB, ядре Linux и Grafana. Размер выплаченных вознаграждений составил 320 тысяч долларов при общем заявленном призовом фонде в 4.5 млн долларов.

По правилам соревнований участники должны были продемонстрировать рабочие эксплоиты, в которых используются ранее неизвестные уязвимости (0-day). В категории «виртуализация» эксплоиты должны позволять выйти за пределы изолированного контейнера или виртуальной машины, а в остальных категориях привести к удалённому выполнению своего кода. Настройки взламываемых приложений были размещены на GitHub.

Продемонстрированные атаки:

  • Пять атак на СУБД Redis, которые привели к удалённому выполнению кода при аутентифицированном доступе (пять премий в $30 000).
  • Три атаки на СУБД PostgreSQL, которые привели к удалённому выполнению кода при аутентифицированном доступе (три премии $30 000).
  • Атака на СУБД MariaDB, которая привела к удалённому выполнению кода при аутентифицированном доступе (три премии $30 000).
  • Удалённое выполнение кода в платформе визуализации данных Grafana
    при аутентифицированном доступе к интерфейсу ($10 000).

  • Атака на ядро Linux, позволившая выйти из изолированного контейнера в Ubuntu ($40 000).
  • Две попытки атаки на vLLM и Ollama оказались неуспешными, так как участникам не удалось уложиться в отведённое время.

Победителем объявлена команда Team Xint Code совершившая успешные атаки на Redis, PostgreSQL и MariaDB, и заработавшая 90 тысяч долларов. Примечательно, что продемонстрированные командой Team Xint Code уязвимости были выявлены при помощи AI-анализатора Xint Code.

Невостребованной осталась наиболее крупная премия в 300 тысяч долларов, назначенная за взлом nginx, а также премии размером 100 тысяч долларов, предложенные за взлом Apache Tomcat, Redis, PostgreSQL и MariaDB при неаутентифицированном доступе.
Заявки также не поступили на взлом Docker, Containerd, Envoy, Caddy, NVIDIA Container Toolkit, Kubernetes API Server, Kubelet Server, Prometheus, Fluent Bit, Apache Airflow, Jenkins и GitLab CE.

Подробности о характере уязвимостей пока не сообщаются. В соответствии с условиями конкурса детальная информация о всех продемонстрированных уязвимостях передана разработчикам проблемных проектов и будет опубликована после выпуска производителями обновлений с устранением уязвимостей.

Источник: http://www.opennet.ru/opennews/art.shtml?num=64444