Pwn2Own 2022初日、Microsoft TeamsとWindows 11がゼロデイ攻撃で侵害される

世界最高峰のハッキングコンテスト「Pwn2Own Vancouver」とは

「Pwn2Own Vancouver」は毎年開催されるハッキングコンテストで、参加者やサイバーセキュリティの専門家たちが、バグやゼロデイ脆弱性を駆使してソフトウェアに合法的に侵入する技術を披露し、賞金と名誉を競うイベントです。今年で15周年を迎える節目の年となりました。

初日だけで総額80万ドルの賞金

イベント初日、参加者たちは計16個のゼロデイ脆弱性を巧みに組み合わせて複数のソフトウェアを次々と突破し、合計80万ドルもの賞金を獲得しました。その攻略対象には、Windows 11やMicrosoft TeamsといったMicrosoft製品も含まれていました。

Microsoft Teamsへの攻撃

最初に陥落したのはMicrosoft Teamsです。Hector Peralta氏は不適切な構成設定の欠陥を突いてこれを侵害し、15万ドルと「Master of Pwn」ポイント15点を獲得しました。続いて、日本のセキュリティ研究者であるKinugawa Masato氏も、「感染」「設定ミス」「サンドボックスエスケープ」からなる3バグ連鎖のエクスプロイトを実行し、こちらも15万ドルを手にしました。さらに、STAR LabsのBilly Jheng Bing-Jhong氏、Muhammad Alifa Ramdhan氏、Nguyễn Hoàng Thạch氏のチームは、ユーザーの操作を一切必要としない「ゼロクリック型」の2バグ連鎖エクスプロイトを実演してみせました。(出典:Bleeping Computer)

Windows 11への攻撃

数名の専門家や参加者がMicrosoftのOS「Windows 11」にも挑戦し、堅固なセキュリティ対策をかいくぐって侵入に成功しました。Marcin Wiązowski氏は、メモリの範囲外(OOB)書き込みを利用した権限昇格エクスプロイトをWindows 11に対して実行し、4万ドルと「Master of Pwn」ポイント4点を獲得。さらに、Microsoftからも「高い評価」と称賛を受けました。

その他の攻略対象とイベントの意義

このほかにも、Oracle VirtualBox、Mozilla Firefox、Ubuntu Desktop、Apple Safariなど、多彩な製品がハッカーたちの手によって突破され、それぞれ賞金と名誉が授けられました。

こうしたイベントは、単なる技術自慢の場ではありません。Microsoftなどの企業にとって、悪意ある攻撃者に悪用される前にセキュリティ上の抜け穴を発見できる貴重な機会であり、より洗練された対策や修正プログラムの開発につながる重要な役割を果たしています。