Pwnie Awards 2019: най-съществени уязвимости и провали в сигурността

На проведената конференция Black Hat USA в Лас Вегас се състоя церемония по връчване на награди Pwnie Awards 2019, в рамките на която са отличени най-съществените уязвимости и абсурдни провали в сферата на компютърната безопасност. Pwnie Awards се счита за аналог на Оскарите и Златната малинка в областта на компютърната сигурност и се провежда ежегодно от 2007 година.

Основни победители и категории:

• Най-добра сървърна грешка. Присъжда се за откритие и експлоатация на най-технически сложната и интересна грешка в мрежовата услуга. Победителите са изследователи, открили уязвимост при VPN доставчика Pulse Secure, VPN услугата на който се използва в Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, Военноморските сили на САЩ, Министерството на вътрешната сигурност на САЩ и вероятно в половината компании от списъка Fortune 500. Изследователите откриха задна врата, която позволява на неавтентифициран атакуващ да промени паролата на всеки потребител. Демонстрирано е възможността за експлоатация на проблема за получаване на root достъп до VPN сървъра, на който е отворен само HTTPS порт;

  Сред не получилите наградата кандидати можем да отбележим:

  • Експлоатирана на етап аутентификация уязвимост в системата за непрекъсната интеграция Jenkins, позволяваща изпълнение на код на сървъра. Уязвимостта активно се използва от ботове за организиране на добив на криптовалута на сървърите;
  • Критична уязвимост в имейл сървъра Exim, позволяваща изпълнение на код на сървъра с root права;
  • Уязвимостите в IP камерите Xiongmai XMeye P2P, позволяваща контрол на устройството. Камерите са доставяни с инженерна парола и не са използвали проверка на цифрова подписи при ъпдейт на фърмуера;
  • Критична уязвимост в реализацията на RDP протокола в Windows, позволяваща дистанционно изпълнение на свой код;
  • Уязвимост в WordPress, свързана с качването на PHP код под формата на изображение. Проблемът позволява изпълнение на произволен код на сървъра, ако имате привилегиите на автор на публикации (Author) на сайта;
• Най-добра грешка в клиентски софтуер. Победител е лесно експлоатираната уязвимост в системата за групови обаждания Apple FaceTime, позволяваща на инициатора на груповото обаждане да активира принудителен прием на обаждане на страната на получателя (например, за подслушване и подслушване).

  В наградата също бяха номинирани:

  • Уязвимост в WhatsApp, което позволява изпълнението на собствен код чрез изпращане на специализиран гласов повикване;
  • Уязвимост в графичната библиотека Skia, използвана в браузера Chrome, която може да доведе до повреди в паметта поради неточности в операциите с плаваща запетая при някои геометрични трансформации;
• Най-добра уязвимост, водеща до повишаване на привилегиите. Наградата е присъдена за откритие уязвимости в ядрото на iOS, която може да бъде експлоатирана чрез ipc_voucher, достъпен за достъп през браузера Safari.

  В наградата също бяха номинирани:

  • Уязвимост в Windows, позволяваща получаване на пълен контрол върху системата чрез манипулации с функцията CreateWindowEx (win32k.sys). Проблемът беше открит по време на анализ на злонамерен софтуер, експлоатиращ уязвимостта преди нейното поправяне;
  • Уязвимост в runc и LXC, засягаща Docker и други системи за контейнерна изолация, позволяваща на нападателя да промени изпълнимия файл runc от контролирания изолиран контейнер и да получи root-привилегии на хост-системата;
  • Уязвимост в iOS (CFPrefsDaemon), позволяваща обход на режимите на изолация и изпълнение на код с права root;
  • Уязвимост в редакция на TCP стека на Linux, използван в Android, позволяваща на локален потребител да повиши своите привилегии на устройството;
  • Уязвимостите в systemd-journald, позволяваща получаване на права root;
  • Уязвимост в утилитата tmpreaper за почистване на /tmp, позволяваща запазване на файл на всяка част от файловата система;
• Най-добра криптографска атака. Присъжда се за откритие на най-възловите недостатъци в реални системи, протоколи и алгоритми за криптиране. Наградата е присъдена за откритие уязвимости в технологията за защита на безжични мрежи WPA3 и в EAP-pwd, позволяваща възстановяване на паролата за свързване и достъп до безжичната мрежа без знание за паролата.

  Кандидати за наградата също бяха:

  • Метод атаки на криптиране PGP и S/MIME в имейл клиенти;
  • Приложение метод на студен ресет за достъп до съдържанието на криптирани дялове Bitlocker;
  • Уязвимост в OpenSSL, позволяваща да се разграничат ситуации на неправилно добавяне на запълване и неправилен MAC. Проблемът е предизвикан от неправилна обработка на нулеви байтове в добавчното запълване (padding oracle);
  • Проблеми с идентификационни карти, използвани в Германия, които прилагат SAML;
  • Проблема с ентропията на произволни числа в реализиране на поддръжка за токени U2F в ChromeOS;
  • Уязвимост в Monocypher, поради която нулевите сигнатури EdDSA бяха признати за валидни.
• Най-иновативното проучване. Наградата е присъдена на разработчика на технология Vectorized Emulation, използваща векторни инструкции AVX-512 за емуляция на изпълнението на програми, което позволява значително увеличаване на скоростта на fuzzing-тестовете (до 40-120 милиарда инструкции в секунда). Технологията позволява на всяко ядро на ЦП да изпълнява паралелно 8 64-битови или 16 32-битови виртуални машини с инструкции за fuzzing-тестове на приложението.

  За наградата кандидатстваха:

  • Уязвимост в технологията Power Query от MS Excel, която позволява организиране на изпълнението на код и заобикаляне на методите за изолация на приложения при отваряне на специално форматирани електронни таблици;
  • Метод манипулация на автопилота на автомобила Tesla за предизвикване на влизане в насрещната лента;
  • Работа обратен инженеринг на чипа ASICS Siemens S7-1200;
  • SonarSnoop — техника за следене на движението на пръстите за определяне на кода за отключване на телефона, основаваща се на принципа на работа на сонара — горните и долните говорители на смартфона генерират неслышимые колебания, а вградените микрофони улавят тези колебания за анализ на наличието на отражения от ръката;
  • Разработка в АНБ инструменти за обратен инженеринг Ghidra;
  • SAFE — техника за установяване на използването на същия код в различни изпълними файлове на базата на анализ на бинарните сборки;
  • само за четене изисква известни допълнителни усилия от разработчиците на вградени системи и тук на сцената излиза VFS. Linux изисква файловете в метод за заобикаляне на механизма Intel Boot Guard за зареждане на модифицирани UEFI фърмуер без проверка по цифрова подпись.
• Най-неадекватната реакция на вендора (Lamest Vendor Response). Номинация за най-неадекватната реакция на съобщение за уязвимост в собствения продукт. Победителите са разработчиците на криптокошницата BitFi, които изтъкват своята извънредна безопасност, която всъщност се оказа илюзия, преследваща изследователи, разкриващи уязвимости, и неплащаща обещаните награди за идентифициране на проблеми;

  Сред кандидатите за наградата бяха разгледани и:

  • Изследовател по сигурността обвини директора на Atrient в нападение, с цел принудително премахване на доклад за идентифицирана от него уязвимост, но директорът отрича инцидента и камерите за наблюдение не зафиксировали това нападение;
  • Компанията Zoom забавяше поправката на критичната уязвимости в своята система за конференц-свързване и е поправила проблема едва след публично разкритие. Уязвимостта позволява на външен нападател да получи данни от уеб-камерата на потребители на macOS, когато се отвори специално оформена страница в браузъра (zoom стартира на клиента http-сервер, приемащ команди от локалното приложение).
  • Неспособност повече от 10 години да бъде коригирано проблема с сървърите за криптографски ключове OpenPGP, мотивирайки се с това, че кодът е написан на специфичен език OCaml и остава без поддръжка.

  Най-преувеличеното обявление за уязвимост. Присъжда се за най-пафосното и мащабно обсъждане на проблема в интернет и медиите, особено ако в крайна сметка уязвимостта се окаже неексплоатируема на практика. Наградата е присъдена на изданието Bloomberg за заявление за откритие на шпионски чипове в платките Super Micro, което не се потвърди, а източникът посочи съвсем друга информация.

  В номинацията са споменати:

  • Уязвимост в libssh, която засяга единици сървърни приложения (libssh почти не се използва за сървъри), но беше представена от NCC Group като уязвимост, позволяваща атака на всеки сървър OpenSSH.
  • Атака с използване на изображения във формат DICOM. Същността е, че може да се подготви изпълним файл за Windows, който ще изглежда като валидно изображение във формат DICOM. Този файл може да бъде качен на медицинско устройство и изпълнен.
  • Уязвимост Thrangrycat, позволяваща заобикаляне на механизма за безопасно зареждане на устройства Cisco. Уязвимостта е отнесена в категорията на преувеличените проблеми, тъй като изисква права root за атаката, но ако нападателят вече е успял да получи root-достъп, то за каква сигурност може да се говори. Уязвимостта също така спечели в категорията на най-недооценените проблеми, тъй като позволява внедряването на постоянен бекдор във Flash;
• Най-голямото провал (Most Epic FAIL). Победата е присъдена на изданието Bloomberg за редица сензационни статии с шумни заглавия, но измислени факти, премълчаване на източници, спекулации с теории на конспирацията, използване на термини като "кибероръжие", и неприемливи обобщения. Сред другите номинирани:
  • Атака Shadowhammer на услугата за актуализиране на фърмуера Asus;
  • Хак на хранилището BitFi, представено като "непробиваемо";
  • Изтичания на лични данни и токени достъп до Facebook.

Източник: opennet.ru