Pwn2Own 2023 confirma que el software «invulnerable» no existe

Pwn2Own 2023 ha sido la nueva edición del concurso de hacking más importante del mundo. Se celebra anualmente en Vancouver y su objetivo es el mismo que el de su creación: encontrar vulnerabilidades críticas en un entorno controlado para que los proveedores mejoren la seguridad de sus desarrollos antes que puedan ser explotadas.

Para ello los participantes se comprometen a entregar toda la investigación privadamente y no hacerla pública en un periodo mínimo de 90 días. A cambio, en el concurso organizado por el Zero Day Initiative de Trend Micro, las firmas entregan suculentos premios. Una buena inversión teniendo en cuenta que este evento cuenta con la participación de los mejores hackers de sobrero blanco del planeta e investigadores de seguridad de gran nivel que se adelantan a lo que pueda llegar del cibercrimen, reforzando la seguridad del software, los dispositivos y en definitiva la vida virtual de todos nosotros.

Pwn2Own 2023, nada se resiste

Si en sus inicios este evento se limitaba a la seguridad de sistemas operativos y sus navegadores web, hoy incluye otras categorías importantes como la de virtualización, servidores, aplicaciones y comunicaciones empresariales, así como una de automoción que se inició con los Tesla como protagonistas y que ha regresado en esta edición ante la importancia que va a adquirir en el futuro la conducción autónoma y el coche conectado.

Como estreno para este año, se ha añadido el sistema macOS en la categoría de Escalada local de privilegios y los DNS (vitales para el funcionamiento de Internet y la computación en nube) en la categoría de servidores.

La edición de este año no ha sido diferente a las anteriores y prácticamente ningún tipo de software se ha resistido. Los concursantes revelaron 27 fallos críticos Zero-Day (vulnerabilidades desconocidas sin solución) y ganaron en total algo más de un millón de dólares y un Tesla Model 3.

Ya el primer día, fueron hackeados los sistemas operativos principales a prueba, Windows 11, macOS y Ubuntu Desktop. También se comprometió el sistema de info-entretenimiento del Tesla Model 3 citado (ganando el propio automóvil), una cadena de exploits de día cero dirigida a Microsoft SharePoint, un ataque exitoso al Adobe Reader y otro contra la máquina virtual VirtualBox de Oracle.

La virtualización es una técnica muy importante en la computación actual y el gigante VMware regresaba al evento como patrocinador. El software WMware Workstation fue hackeado el último día del concurso, al igual que un Windows 11 totalmente parcheado y Ubuntu Desktop que fue comprometido por tres equipos diferentes. Destacar que el equipo Synacktiv fue declarado el Master of PWN ganando por mucha diferencia, más de medio millón de dólares y un automóvil Tesla Model 3.

La organización del Pwn2Own 2023 divulgará públicamente todos los fallos descubiertos después de transcurridos 90 días e independientemente del estado de los parches. Un periodo razonable para solventar las vulnerabilidades, pero que al tiempo obligue también en alguna medida a los proveedores de software. Siempre interesante este tipo de concursos donde los grandes hackers muestran su nivel y ayudan a mejorar la seguridad informática.

La entrada Pwn2Own 2023 confirma que el software «invulnerable» no existe se publicó primero en MuyComputer.