На конференцията Black Hat USA, провела се в Лас Вегас церемония по връчване на наградата , в рамките на която са отличени най-значителните уязвимости и абсурдни провали в областта на компютърната сигурност. Pwnie Awards се счита за аналог на Оскарите и Златните малини в компютърната сигурност и се провеждат ежегодно от 2007 година.
Основни и :
- Най-добра сървърна грешка. Присъжда се за откритие и експлоатация на най-технически сложната и интересна грешка в мрежовата услуга. Победителите са изследователи, уязвимост при VPN доставчика Pulse Secure, чийто VPN сервис се използва в Twitter, Uber, Microsoft, SLA, SpaceX, Akamai, Intel, IBM, VMware, ВМС на САЩ, Министерството на националната сигурност (МНБ) на САЩ и вероятно в половината от компаниите в списъка Fortune 500. Изследователите са открили бекдор, който позволява на неаутентифициран атакувач да промени паролата на всеки потребител. Демонстрирана е възможността за експлоатация на проблема за получаване на root достъп до VPN сървъра, на който е отворен само HTTPS порт;
От неполучилите награда кандидати могат да се отбележат:
- Експлоатирана на етапа преди извършване на аутентификация в система за непрекъсната интеграция Jenkins, позволяваща изпълнение на код на сървъра. Уязвимостта активно се използва от ботове за организиране на добив на криптовалута на сървърите;
- Критична в пощенския сървър Exim, позволяваща изпълнение на код на сървера с права на root;
- в IP камерите Xiongmai XMeye P2P, позволяваща овладяване на управлението на устройството. Камерите се доставят с инженерна парола и не използват проверка на цифрова подпис при обновяване на фърмуера;
- Критична в реализацията на RDP протокола в Windows, позволяваща дистанционно изпълнение на свой код;
- в WordPress, свързана с качването на PHP код под формата на изображение. Проблемът позволява изпълнение на произволен код на сървера, притежавайки права на автор на публикации на сайта;
- Най-добра грешка в клиентския софтуер. Победителят е лесно експлоатирана в системата за групови разговори Apple FaceTime, позволяваща на инициатора на груповия разговор да принуди приема на обаждане от страна на получателя (например, за подслушване и наблюдение).
За наградата също се състезаваха:
- в WhatsApp, позволяваща изпълнението на произволен код чрез изпращане на специално форматирано гласово повикване;
- в графичната библиотека Skia, използвана в браузера Chrome, която може да доведе до повреждане на паметта поради грешки в операции с плаваща запетая при определени геометрични преобразования;
- Най-добрата уязвимост, водеща до повишаване на привилегиите. Наградата е присъдена за откритие на в ядрото на iOS, която може да бъде експлоатирана чрез ipc_voucher, наличен за достъп през браузера Safari.
За наградата също се състезаваха:
- в Windows, позволяваща пълно управление на системата чрез манипулации с функцията CreateWindowEx (win32k.sys). Проблемът е открит по време на анализ на злонамерен софтуер, който е експлоатирал уязвимостта преди нейната поправка;
- в runc и LXC, засягаща Docker и други системи за контейнерна изолация, позволяваща на нападателя да модифицира изпълнимия файл runc от контролирания контейнер и да получи root-привилегии на хост-системата;
- в iOS (CFPrefsDaemon), позволяваща заобикалянето на режимите на изолация и изпълняване на код с root права;
- в редакцията на TCP стека на Linux, използван в Android, позволяваща на локален потребител да повиши привилегиите си на устройството;
- в systemd-journald, позволяваща получаване на root права;
- в утилитата tmpreaper за почистване на /tmp, позволяваща запазване на файл в която и да е част на файловата система;
- Най-добрата криптографска атака. Присъжда се за откритие на най-съществени уязвимости в реални системи, протоколи и алгоритми за криптиране. Наградата е присъдена за откритие в технологията за защита на безжични мрежи WPA3 и в EAP-pwd, позволяваща възстановяване на паролата за свързване и достъп до безжичната мрежа без знание за паролата.
Кандидатите за наградата също бяха:
- атаки върху PGP и S/MIME криптирането в пощенските клиенти;
- метод на студен рестарт за получаване на достъп до съдържанието на криптирани дялове на Bitlocker;
- в OpenSSL, позволяваща разделянето на ситуации с некоректно добавено запълване и некоректен MAC. Проблемът е причинен от некоректна обработка на нулеви байтове в добавеното запълване (padding oracle);
- с идентификационни карти, използвани в Германия, използващи SAML;
- с ентропията на произволни числа в реализацията на поддръжка на U2F токени в ChromeOS;
- в Monocypher, поради която нулеви подписки EdDSA бяха признати за коректни.
- Най-иновационното проучване. Наградата е присъдена на разработчика на технология. , използваща векторни инструкции AVX-512 за емулиране на изпълнението на програми, позволяваща значително увеличаване на скоростта на fuzzing-тестовете (до 40-120 милиарда инструкции в секунда). Техниката позволява на всяко ядро на ЦПУ паралелно да изпълнява 8 64-битови или 16 32-битови виртуални машини с инструкции за fuzzing-тестиране на приложения.
Кандидатите за наградата включват:
- в технологията Power Query от MS Excel, позволяваща организиране на изпълнението на код и заобикаляне на методите за изолация на приложения при отваряне на специално форматирани електронни таблици;
- манипулация на автопилота на автомобилите Tesla, провокираща излизане на насрещното платно;
- обратен инженеринг на чипа ASICS Siemens S7-1200;
- — техника за проследяване на движението на пръстите за определяне на кода за отключване на телефон, базирана на принципа на работа на сонара — горните и долните говорители на смартфона генерират неслышими колебания, а вградените микрофони ги улавят за анализ на наличието на отраженията от ръката;
- в инструментария на АНБ за обратен инженеринг Ghidra;
- — техника за определяне на използването на код на еднакви функции в няколко изпълними файла на базата на анализ на бинарни сборки;
- метод за заобикаляне на механизма Intel Boot Guard за зареждане на модифицирани UEFI фърмове без проверка по цифрово подписване.
- Най-ламерският отговор на производителя (Lamest Vendor Response). Номинация за най-неадекватния отговор на съобщение за уязвимост в собствен продукт. Победителите са разработчиците на криптокошницата BitFi, които викат за свръхбезопасността на продукта си, която на практика се оказа илюзорна, организиращи преследване на изследователите, които откриват уязвимости, и не изплащащи обещаните награди за открити проблеми;
Сред кандидатите за наградата също се разглеждат:
- Изследовател по сигурността обвини директора на Atrient в нападение, за да накара да изтегли отчета за откритата от него уязвимост, но директорът отрича инцидента и камерите за наблюдение не са заснели атаката;
- Компанията Zoom отлага коригирането на критичен в своята система за конференц връзка и коригира проблема само след публично оповестяване. Уязвимостта позволяваше на външен нападател да получения данни от уеб камерите на потребителите на macOS при отваряне в браузъра на специално оформена страница (zoom стартираше на клиентското устройство http сървър, приемащ команди от локалното приложение).
- Неспособността да се коригира повече от 10 години с сървърите за криптографски ключове OpenPGP, оправдавайки се, че кодът е написан на специфичен език OCaml и остава без поддръжка.
Най-преувеличеното обявление за уязвимост. Присъжда се за най-патетичното и мащабно отразяване на проблема в интернет и медиите, особено ако в крайна сметка уязвимостта се окаже неексплоатируема на практика. Наградата е присъдена на изданието Bloomberg за откритие на шпионски чипове в платките Super Micro, което не се потвърди, а източникът посочи съвсем .
В номинацията са споменати:
- Уязвимост в libssh, която единични сървърни приложения (libssh почти не се използва за сървъри), но беше представена от NCC Group като уязвимост, позволяваща атака на всеки сървър OpenSSH.
- Атака с използване на изображения в формат DICOM. Същността е, че може да се подготви изпълнима програма за Windows, която ще изглежда като валидно изображение в формат DICOM. Тази програма може да бъде качена на медицинско устройство и изпълнена.
- Уязвимостта , позволяваща заобикаляне на механизма за безопасно зареждане на устройства Cisco. Уязвимостта е класифицирана като преувеличен проблем, тъй като изисква права root за атаката, но ако нападателят вече е успял да получи root достъп, то за каква сигурност става въпрос. Уязвимостта едновременно спечели в категорията на най-недооценените проблеми, тъй като позволява внедряването на постоянен backdoor във Flash;
- Най-голямото провал (Most Epic FAIL). Победата е присъдена на изданието Bloomberg за редица сензационни статии с шумни заглавия, но измислени факти, премълчаване на източници, свързване в теории на конспирацията, използване на термини като „киберуръжие“ и недопустими обобщения. Сред другите номинирани:
- Атака Shadowhammer на услугата за обновление на фърмуер Asus;
- Хакване на хранилището BitFi, рекламирано като „невзламо“;
- Изтичания на лични данни и за достъп във Facebook.
Източник: opennet.ru
