Zeroday Cloud Hacking Yarışması: 320,000 Dolar Ödül Dağıtıldı
2025 yılında Londra’da gerçekleştirilen Zeroday Cloud hacking yarışması, araştırmacılara bulut altyapısında kullanılan bileşenlerdeki kritik uzaktan kod yürütme açıklarını sergilemeleri karşılığında toplamda 320,000 dolar ödül verdi. Bu etkinlik, bulut sistemlerine odaklanan ilk hacking yarışması olma özelliğini taşıyor ve Wiz Research tarafından, Amazon Web Services, Microsoft ve Google Cloud iş birliği ile düzenlenmiştir.
Başarı Oranı ve Hedeflenen Açıklar
Yarışma boyunca, araştırmacılar 13 hacking oturumu gerçekleştirmiş ve bu oturumlarda %85 başarı oranı ile 11 adet zero-day açığı tespit etmiştir. Elde edilen veriler, bulut sistemlerinde güvenlik açığına yönelik ciddi bir risk faktörü olduğunu göstermektedir.
Uygulama Alanları ve Dağıtılan Ödüller
Yarışmanın ilk gününde, Redis, PostgreSQL, Grafana ve Linux çekirdeği gibi sistemlerdeki açıkların başarılı bir şekilde kullanıldığı için 200,000 dolar ödül dağıtıldı. İkinci gün ise, Redis, PostgreSQL ve MariaDB üzerinde yapılan exploitler sonucu 120,000 dolarlık ek bir ödeme yapıldı. Bu veritabanları, bulut sistemlerinde kritik bilgileri (kimlik bilgileri, gizli bilgiler, hassas kullanıcı verileri vb.) saklamak için yaygın olarak kullanılmaktadır.
Source: Wiz
Yarışmada Linux çekirdeği, bir konteyner kaçış hatası yoluyla ihlal edildi. Bu hata, bulut kiracılarının birbirinden izole edilmesini bozan bir istismar arz etti ve bulut güvenliği için temel bir garantiyi tehdit etti.
Takım Başarıları ve Yapay Zeka Açıkları
Bulut yarışmasının kapanışında, Xint Code takımı Redis, MariaDB ve PostgreSQL üzerindeki başarılı exploitleriyle şampiyon oldu ve bu üç exploit için 90,000 dolar ödül aldı. Yarışma sonunda Zellic ve DEVCORE şirketlerine ait araştırmacılar da, yaptıkları başarılı exploitler için 40,000 dolar kazandı.
Source: Wiz
Ayrıca, yapay zeka üzerine de bazı hacking denemeleri gerçekleştirildi. vLLM ve Ollama modellerine yönelik yapılan bu denemeler, özel AI modelleri, veri setleri ve komut dizilerinin ifşa olmasına neden olabilirdi. Ancak, bu denemeler sürenin tükenmesi nedeniyle başarısız oldu.
Ödül Havuzu ve Hedeflenmeyen Ürünler
Olumlu sonuçlarına rağmen, ödüllerin toplamı 4.5 milyon dolar olan ödül havuzunun sadece küçük bir kısmını oluşturdu. Yarışmadaki hedeflenmeyen ürün kategorileri arasında AI (Ollama, vLLM, Nvidia Container Toolkit), Kubernetes, Docker, web sunucuları (nginx, Apache Tomcat, Envoy, Caddy), Apache Airflow, Jenkins ve GitLab CE bulunmaktadır.
