Pwn2Own Automotive 2024 大赛上，研究人员又一次侵入了特斯拉
内容提要
Pwn2Own Automotive 2024大赛的第一天，安全研究人员通过三个漏洞碰撞和24个零日漏洞利用获得了72.25万美元的奖金。Synacktiv团队成功利用三个零日漏洞获得了特斯拉调制解调器的root权限，并额外入侵了Ubiquiti Connect电动车充电站和JuiceBox 40智能电动车充电站。NCC Group EDG团队入侵了Pioneer DMH-WT7600NEX信息娱乐系统和Phoenix Contact CHARX SEC-3100电动汽车充电器。Pwn2Own Automotive 2024比赛期间，还将演示针对特斯拉车载信息娱乐系统、电动汽车充电器和汽车操作系统的零日漏洞利用。
延伸解读
零日漏洞的90天修复窗口
文章指出，在Pwn2Own比赛中被利用和报告的零日漏洞，供应商有90天时间开发和发布安全修复程序，之后TrendMicro的零日计划便会公开披露修复程序。这一机制平衡了漏洞披露与厂商修复时间，但也意味着在修复发布前，相关漏洞可能处于风险之中。对于汽车行业而言，90天窗口期是否足够应对复杂车载系统的修复，值得关注。
特斯拉漏洞奖励的侧重
根据文章，Pwn2Own Automotive 2024最高奖金20万美元和一辆特斯拉汽车将授予发现VCSEC、网关或自动驾驶零日漏洞的研究人员。这表明确保车辆核心安全组件（如网关和自动驾驶系统）的漏洞更受重视，可能引导安全研究力量投向这些关键领域。相比之下，信息娱乐系统等漏洞的奖金较低，反映了风险优先级的差异。
电动汽车充电设施的安全隐忧
文章提到，Synacktiv团队成功入侵了Ubiquiti Connect和JuiceBox 40电动车充电站，NCC Group EDG团队则攻破了Phoenix Contact CHARX SEC-3100电动汽车充电器。这些案例显示，充电设施作为车联网生态的一部分，同样存在可被利用的零日漏洞。随着电动汽车普及，充电桩等基础设施的网络安全应引起更多重视，避免成为攻击入口。
Q&A
Pwn2Own Automotive 2024 大赛是什么时候在哪里举办的？
Pwn2Own Automotive 2024 大赛于 1 月 24 日至 1 月 26 日在日本东京举行，是世界汽车大会期间的一项活动。
在 Pwn2Own Automotive 2024 大赛第一天，安全研究人员总共获得了多少奖金？
第一天安全研究人员通过三个漏洞碰撞和 24 个零日漏洞利用共获得了 72.25 万美元的奖金。
Synacktiv 团队在 Pwn2Own Automotive 2024 大赛第一天取得了哪些成绩？
Synacktiv 团队利用三个零日漏洞获得了特斯拉调制解调器的 root 权限，赢得 10 万美元奖金；还利用两个独特的双漏洞链成功入侵了 Ubiquiti Connect 电动车充电站和 JuiceBox 40 智能电动车充电站，额外获得 12 万美元奖金；加上轻松进入 ChargePoint Home Flex 电动汽车充电器获得的 1.6 万美元奖金，当天总奖金为 29.5 万美元，排名第一。
NCC Group EDG 团队在 Pwn2Own Automotive 2024 大赛中入侵了哪些设备？赢得了多少奖金？
NCC Group EDG 团队利用零日漏洞入侵了 Pioneer DMH-WT7600NEX 信息娱乐系统和 Phoenix Contact CHARX SEC-3100 电动汽车充电器，赢得了 7 万美元奖金，获得排行榜第二名。
零日漏洞在 Pwn2Own 比赛中被利用后，供应商需要做什么？
零日漏洞在 Pwn2Own 比赛中被利用和报告后，供应商有 90 天的时间开发和发布安全修复程序，此后 TrendMicro 的零日计划便会公开披露修复程序。
Pwn2Own Automotive 2024 大赛的最高奖金是多少？奖励给什么样的发现？
最高奖金为 20 万美元以及一辆特斯拉汽车，将授予 VCSEC、网关或自动驾驶零日漏洞的发现者。
Pwn2Own 大赛的主办方和支持者有哪些？
Pwn2Own 由美国五角大楼网络安全服务商、惠普旗下 TippingPoint 的项目组 ZDI（Zero Day Initiative）主办，谷歌、微软、苹果、Adobe 等互联网和软件巨头都对比赛提供支持。
