የ2021 ዓመታዊ የPwnie ሽልማቶች አሸናፊዎች ተለይተዋል፣ ይህም በኮምፒዩተር ደህንነት መስክ በጣም ጉልህ የሆኑ ተጋላጭነቶችን እና የማይረቡ ውድቀቶችን በማሳየት ነው። የ Pwnie ሽልማቶች በኮምፒዩተር ደህንነት ውስጥ ከኦስካርስ እና ከወርቃማው ራስበሪ ጋር እኩል ተደርገው ይወሰዳሉ።
ዋና አሸናፊዎች (የተወዳዳሪዎች ዝርዝር)
- የተሻለ የልዩነት መስፋፋት ተጋላጭነት። ድሉ የስር መብቶችን ለማግኘት የሚያስችል በሱዶ መገልገያ ውስጥ ያለውን CVE-2021-3156 ተጋላጭነትን በመለየት ለ Qualys ተሸልሟል። ተጋላጭነቱ ለ 10 ዓመታት ያህል በኮዱ ውስጥ ይገኛል እና የመገልገያውን አመክንዮ በትክክል መመርመር አስፈላጊ በመሆኑ ተለይቶ ይታወቃል።
- ምርጥ የአገልጋይ ስህተት። በኔትወርክ አገልግሎት ውስጥ በጣም ውስብስብ እና አስደሳች የሆነውን ሳንካ በመለየት እና በመበዝበዝ ተሸልሟል። ሽልማቱ የተሰጠው በማይክሮሶፍት ኤክስፖርት ላይ አዲስ የጥቃት ቬክተር በመለየት ነው። በዚህ ክፍል ውስጥ ያሉ ሁሉም ተጋላጭነቶች አልታተሙም፣ ነገር ግን መረጃው አስቀድሞ በCVE-2021-26855 (ProxyLogon) ላይ ተገልጧል፣ ይህም ያለ ማረጋገጫ የዘፈቀደ የተጠቃሚ ውሂብ ማውጣት ያስችላል፣ እና ብጁ ኮድ እንዲተገበር የሚያስችል CVE-2021-27065። አገልጋይ ከአስተዳዳሪ መብቶች ጋር.
- Лучшая криптографическая атака. Присуждается за выявление наиболее значимых брешей в реальных системах, протоколах и алгоритмах шифрования. Премия присуждена компании Microsoft за уязвимость (CVE-2020-0601) в реализации цифровых подписей на основе эллиптических кривых, позволяющую сгенерировать закрытые ключи на основе открытых ключей. Проблема позволяла создать поддельные TLS-сертификаты для HTTPS и фиктивные цифровые подписи, которые верифицировались в Windows как заслуживающие доверия.
- በጣም ፈጠራ ምርምር። ሽልማቱ የተካሄደው በአድራሻ Randomization Based Leverage (ASLR) ጥበቃን ለማለፍ የBlindSide ዘዴን ለሚያቀርቡ ተመራማሪዎች በአቀነባባሪው ግምታዊ አፈፃፀም ምክንያት የጎን ቻናል ፍንጣቂዎችን በመጠቀም ነው።
- Самый большой провал (Most Epic FAIL). Премия присуждена компании Microsoft за многократно выпущенное неработающее исправление уязвимости PrintNightmare (CVE-2021-34527) в системе вывода на печать Windows, позволяющей выполнить свой код. Вначале компания Microsoft пометила проблему как локальную, но затем выяснилось, что атака может быть совершена удалённо. Затем Microsoft четыре раза публиковала обновления, но каждый раз исправление закрывало лишь частный случай и исследователи находили новый способ совершения атаки.
- በደንበኛ ሶፍትዌር ውስጥ ምርጥ ስህተት። አሸናፊው የCC EAL 2020+ የደህንነት ሰርተፍኬት በተቀበለ ደህንነቱ በተጠበቀ የሳምሰንግ ክሪፕቶ ፕሮሰሰር ላይ የCVE-28341-5 ተጋላጭነትን የለየ ተመራማሪ ነው። የተጋላጭነቱ ሁኔታ ጥበቃውን ሙሉ በሙሉ ለማለፍ እና በቺፑ ላይ የተተገበረውን ኮድ እና በኤንክላቭ ውስጥ የተከማቸውን መረጃ ለማግኘት፣ የስክሪን ቆጣቢ መቆለፊያውን ለማለፍ እና እንዲሁም የተደበቀ የኋላ በር ለመፍጠር በጽኑ ዌር ላይ ለውጦችን ለማድረግ አስችሏል።
- እጅግ በጣም ዝቅተኛ ግምት የተሰጠው ተጋላጭነት ሽልማት፡ በኢሜል ውስጥ የ21Nails ተከታታይ ተጋላጭነቶችን በማግኘታቸው ለኳሊስ ተሰጥቷል። አገልጋይ ኤክሲም፣ ከእነዚህ ውስጥ 10ቱ በርቀት ጥቅም ላይ ሊውሉ ይችላሉ። የኤግዚም ገንቢዎች የብዝበዛ እድልን በተመለከተ ጥርጣሬ ነበራቸው እና ከስድስት ወራት በላይ ጥገናዎችን በማዘጋጀት አሳልፈዋል።
- የአምራቹ በጣም አንገብጋቢ ምላሽ (Lamest Vendor Response)። በራስ ምርት ውስጥ ለተጋላጭነት ሪፖርት በጣም ተገቢ ያልሆነ ምላሽ እጩነት። አሸናፊው ሴሌብሬት የተባለ ኩባንያ ለህግ አስከባሪዎች የፎረንሲክ ትንተና እና የመረጃ ማዕድን አፕሊኬሽኖችን የሚገነባ ድርጅት ነው። ሴሌብራይት የሲግናል ፕሮቶኮል ደራሲ በሆነው በሞክሲ ማርሊንስፒክ ለተለጠፈው የተጋላጭነት ሪፖርት ተገቢ ያልሆነ ምላሽ ሰጥቷል። ሞክስዚ በሴሌብሪት ላይ ፍላጎት ያሳደረው የሚዲያ መጣጥፍ ኢንክሪፕት የተደረጉ ሲግናል መልእክቶችን ጠልፎ ለመጥለፍ የሚያስችል ቴክኖሎጂ መፈጠሩን ተከትሎ ሲሆን ይህም ከጊዜ በኋላ በሴሌብሪት ድረ-ገጽ ላይ በወጣ መጣጥፍ ላይ በተሰራጨው መረጃ የተሳሳተ ትርጉም ወደ ሀሰት ሆኖ ተገኘ እና ከዚያ ተወግዷል (“ ጥቃቱ” የስልኩን አካላዊ ተደራሽነት እና ስክሪን የመክፈት ችሎታን ይጠይቃል፣ ማለትም በመልእክተኛው ውስጥ መልዕክቶችን ለማየት ቀንሷል ፣ ግን በእጅ አይደለም ፣ ግን የተጠቃሚ እርምጃዎችን የሚመስል ልዩ መተግበሪያ በመጠቀም)።
Moxxi የCeleebrite መተግበሪያዎችን አጥንቷል እና ልዩ የተነደፈ ውሂብን ለመቃኘት በሚሞከርበት ጊዜ የዘፈቀደ ኮድ እንዲተገበር የሚያደርጉ ወሳኝ ተጋላጭነቶችን አግኝቷል። የሴልብሪት አፕሊኬሽኑ ለ9 ዓመታት ያልዘመነ እና ብዙ ያልተጣበቁ ተጋላጭነቶችን የያዘ ጊዜ ያለፈበት የffmpeg ቤተ-መጽሐፍት ሲጠቀም ተገኝቷል። ሴሌብሪት ችግሮቹን አምኖ ከመቀበልና ችግሮቹን ከማስተካከል ይልቅ የተጠቃሚውን መረጃ ትክክለኛነት እንደሚያስብ፣ የምርቶቹን ደህንነት በተገቢው ደረጃ እንደሚጠብቅ፣ በየጊዜው አዳዲስ መረጃዎችን እንደሚያወጣ እና የዓይነቶቹን ምርጥ አፕሊኬሽኖች እንደሚያቀርብ መግለጫ አውጥቷል።
- ትልቁ ስኬት። ሽልማቱ ለደህንነት ተመራማሪዎች መሳሪያዎች ልማት እና ምርቱን ለ 30 አመታት ለማቆየት ላበረከተው አስተዋፅኦ የአይዲኤ ዲሴምበርለር እና የሄክስ ሬይስ ዲኮምፓይለር ደራሲ ኢልፋክ ጊልፋኖቭ ተሰጥቷል።
ምንጭ: opennet.ru
