マルコム・オーウェン
· 1分で読めます
2020年天府杯コンテストの優勝チーム
Appleのソフトウェアセキュリティが中国で開催されたハッキングコンテスト「天府杯」で敗北したと報じられており、SafariとiOS 14の脆弱性を実証した参加者には数千ドル相当の賞金が授与された。
土曜日と日曜日に開催されたこのコンテストでは、各チームが様々なハードウェアを攻撃するエクスプロイトの成功を実証しようと試みました。2020年のコンテストでは、Apple製品固有のターゲットとして、13インチMacBook Proで動作するSafariと、iOS 14を搭載したiPhone 11 Proが選ばれました。
各デバイスには、天府杯主催者から授与される賞金を獲得するための条件リストが設けられていました。Safariの場合、セキュリティ研究者がSafariを使ってリモートURLを閲覧し、ブラウザまたはMacの制御を可能にするという問題がありましたが、リモートコード実行（RCE）攻撃を成功させた場合の賞金は4万ドル、サンドボックスを回避したRCEの場合は6万ドルでした。
iPhoneとiOS 14の場合、チームはSafariと同様の要件を満たしていましたが、「PAC緩和策を回避する」という要件が追加されていました。RCEに成功した場合、ハッカーは12万ドルの賞金を獲得し、サンドボックスからの脱出には18万ドルと追加の賞金、リモートジェイルブレイクには30万ドルの賞金を獲得しました。
公開された結果によると、1つのチームがSafariでサンドボックス脱出に成功し、iOS 14では2つのサンドボックス脱出が実行され、合計42万ドルの賞金が支払われた。
エクスプロイトの詳細は公表されていませんが、責任ある情報開示ポリシーに基づき、Appleにパッチ適用のために提供されました。パッチが適用されるか、十分な期間が経過すると、脆弱性を発見した研究者によって通常、脆弱性の詳細が共有されます。
今年で3年目を迎える天府杯は、Pwn2Ownの構造をほぼモデルにしており、参加する研究者の多くは以前この大会に参加していました。中国の規制変更により、国家安全保障上の懸念から、セキュリティ研究者は国際大会への参加が事実上禁止されました。
週末の優勝チームはQihoo 360 Enterprise Security and Government Vulnerability Research Instituteで、応募作品から744,500ドルを獲得しました。2位はAnt-Financial Light-year Security Labで258,000ドル、3位はセキュリティ研究者の「Pang」で99,500ドルでした。
