首届Pwn2Own 汽车大赛目标和奖金公布
编译：代码卫士
ZDI将在2024年1月24日至26日日本东京举行的全球汽车大会上，主持首届专注于汽车系统的 Pwn2Own 大赛。ZDI 在今天宣布了大赛目标和奖金。大赛的三大主要目标包括：
1、提供鼓励汽车研究的场所。研究人员可提交针对多种产品和平台的漏洞报告并获得经济奖励。
2、激励厂商参与安全研究社区。链接全球的安全研究人员社区与汽车厂商，改进汽车安全性和弹性。
3、专注汽车子部件。希望大家关注构成现代汽车生态系统的复杂系统，而非将汽车作为单片机。
特斯拉是大赛合作伙伴，ChargePoint 公司将提供大赛使用的电动车充电桩，VicOne 公司的研究员将协助判断目标听对电动车攻击面提供技术指南。本次大赛的现金和赏金池尾100万美元。本次大赛允许远程参赛，选手需要在2024年1月18日之前进行注册并在注册结尾提供白皮书解释利用链以及如何运行的资料。和往届大赛一样，大赛将通过抽签的方式决定参赛顺序。
大赛共分四个类别：
特斯拉
车载娱乐系统 (IVI)
电动车充电桩
操作系统
2019年，Pwn2Own 大赛首次引入汽车类别，本次 Pwn2Own 汽车大赛将涵盖类似内容。参赛者注册针对特斯拉 Model 3/Y（基于 Ryzen）或特斯拉 S/X （基于 Ryzen）同等台式设备。还需要注意的是，虽然特斯拉是奖品之一，但并非所有的成功尝试都会赢得特斯拉。虽然一些目标提供了附加选项，但要开走特斯拉，参赛选手需要针对表格中“含有车辆 (Vehicle Included)”的目标类别才能获得。
如下是目标中所包含的可选附加项的其它信息。
计划参加该类别的选手需要在大赛举办前两周通知ZDI，以便协调硬件资源。
当查看汽车系统中的目标时，首先想到的是第一眼看到的车载信息娱乐 (IVI) 系统，可将它当成收音机并可与手机连接，而且还可以做得更多。导航、车内互联网和WiFi 都是通过这些设备提供的，同时可通过CAN总线与其他车辆系统相连，而这使得IVI成为攻击者的目标。这些设备还将现有车辆改造使其具有现代能力，可能也让它们具有现代漏洞。本届Pwn2Own 汽车大赛将提供三台IVI 作为目标设备。在本类别的尝试必须针对目标被暴露的服务或者普通用户可访问的通信协议/物理接口。
虽然针对电动车的研究颇多，但对于我们所插入电动车的审查却不然。攻击面如移动应用、BLE 连接以及 OCPP 协议可导致威胁行动者对电动车造成损害。本次大赛将提供六种不同的电动车充电桩。攻击尝试必须针对目标的被暴露服务或者普通用户可访问得目标的通信协议/物理接口。
多数人没有想到汽车中的操作系统，但如果驾驶近期发布的奔驰、斯巴鲁、马自达或丰田汽车，很大概率这些车辆上安装了汽车级Linux 系统。这些在线操作系统与桌面操作系统相比如何？这就是大赛要发现的内容。在该类别中的尝试必须针对的是目标被暴露的服务/特性，或者是普通用户可访问的通信协议。
更多详情可参见原文。
Mikrotik 终于修复 Pwn2Own 大赛上的 RouterOS 漏洞
VMware 修复在 Pwn2Own 大赛上发现的两个严重0day
https://www.zerodayinitiative.com/blog/2023/8/28/revealing-the-targets-and-rules-for-the-first-pwn2own-automotive
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。