Il Pwn2Own Irlanda si è concluso con oltre 1 milione di dollari di vincite

Il Pwn2Own di ottobre, tenutosi a Cork, in Irlanda, si è concluso dopo tre giorni di sfide all’ultimo bug. Il bilancio è di oltre 1 milione di dollari vinti e 73 vulnerabilità zero-day scoperte.

In cima alla classifica c’è Summoning Team: il team di hacker si è aggiudicato il titolo di “Master of Pwn” con 22 punti, un grande distacco dal secondo classificato, ANHTUD, con 11,5 punti. Il gruppo vincitore si è portato a casa ben 187.500 dollari, mentre ANHTUD ha guadagnato 76.750 dollari. Il terzo classificato, Synacktiv, già noto per i suoi ottimi risultati nelle competizioni passate, ha vinto invece 90.000 dollari, totalizzando però meno punti del secondo in classifica.

Durante la prima giornata, il team vincitore ha scoperto sei bug 0-day presenti nella Synology DiskStation DS925+ (due vulnerabilità), in Home Assistant Green (un bug di Server-side request forgery) e in Synology ActiveProtect Appliance DP320 (due vulnerabilità).

Il secondo giorno il gruppo ha sfruttato un bug già noto nella Synology CC400W camera e ben cinque vulnerabilità zero-day presenti nel Samsung Galaxy S25.Infine, nella terza giornata, il team ha usato due bug zero-day, uno relativo a credenziali codificate e uno di injection, per prendere il controllo del QNAP TS-453E.

Nel Samsung Galaxy S25 anche il gruppo Interrupt Labs ha individuato una vulnerabilità zero-day: nel dettaglio, si trattava di una bug di validazione errata dell’input.

Anche il Bridge Hue di Philips è stato uno dei protagonisti del Pwn2Own – Irlanda: i team hanno individuato e sfruttato con successo vulnerabilità di crypto bypass, un underflow, bypass dell’autenticazione, un’implementazione errata dell’algoritmo di autenticazione, un OOB read e un OOB write, oltre a numerosi bug di overflow.

Da segnalare anche i bug individuati in tre modelli di stampanti, quali la Canon Color imageCLASS MF654Cdw (due bug), la Lexmark CX532adwe e un’altra stampante Canon di cui non è stato reso noto il modello.

Il prossimo appuntamento è previsto dal 21 al 23 gennaio a Tokyo.