Le chinois Pwn2Own voit l'iPhone 13 entièrement patché, le serveur Chrome et Exchange fissuré

Il est de plus en plus clair que la sécurité n'est qu'une illusion, car les pirates détruisent systématiquement même les systèmes d'exploitation et les plates-formes les plus sécurisés.

Le dernier rapport provient du concours de cybersécurité de la Tianfu Cup, qui a vu une grande variété d'appareils et d'applications violés. Les victimes incluent l'iPhone 13 Pro exécutant iOS 15.0.2 violé deux fois avec un exploit d'exécution de code à distance et un jailbreak iOS 15.

Microsoft ne pouvait pas se réjouir, car la société a vu 5 exploits réussis de Windows 10 et un pour Exchange, tandis que Google a vu deux exploits pour Chrome.

Les autres cibles concernées incluent Adobe PDF, le routeur Asus AX56U, Docker CE, Parallels VM, QEMA VM, Ubuntu 20, VMware ESXi et Workstation.

Les pirates chinois doivent montrer leur travail à la Tianfu Cup car ils ont été interdits de participer à des concours internationaux tels que Pwn2Own. Certaines sources craignent que le gouvernement chinois ne stocke des hacks pour une future cyberguerre, car une nouvelle loi chinoise du 1er septembre 2021 oblige les citoyens chinois à divulguer au gouvernement toute vulnérabilité zero-day.

"Le gouvernement chinois pourrait stocker un nombre important de zero-days contre des produits largement utilisés dans d'autres régions et avoir accès aux connaissances nécessaires pour exploiter ces produits avant qu'ils ne soient corrigés avec succès", a déclaré Kristina Balaam, ingénieure principale du renseignement de sécurité chez Lookout. .

"C'est l'équivalent cybernétique du vol d'avions au-dessus de Taïwan", a déclaré Sam Curry, responsable de la sécurité chez Cybereason.

Les hacks gagnants ont cependant été divulgués aux fournisseurs concernés. Un porte-parole de Microsoft a déclaré à Forbes que « toutes les vulnérabilités signalées dans le cadre du concours sont divulguées de manière responsable et confidentielle. Les solutions aux problèmes de sécurité vérifiés qui répondent à nos critères de service immédiat sont normalement publiées via notre cadence mensuelle de mise à jour du mardi. Google a déjà commencé à déployer des correctifs pour les vulnérabilités trouvées lors de l'événement des 16 et 17 octobre dans Chrome 95.0.4638.69, publié le 28 octobre 2021.

via Forbes