Pwnie পুরষ্কার 2019: সবচেয়ে গুরুত্বপূর্ণ নিরাপত্তা দুর্বলতা এবং ব্যর্থতা

লাস ভেগাসে ব্ল্যাক হ্যাট ইউএসএ সম্মেলনে জায়গা নিয়েছে পুরষ্কার বিতরণী অনুষ্ঠান Pwnie পুরস্কার 2019, যা কম্পিউটার নিরাপত্তার ক্ষেত্রে সবচেয়ে উল্লেখযোগ্য দুর্বলতা এবং অযৌক্তিক ব্যর্থতাগুলিকে হাইলাইট করে৷ Pwnie অ্যাওয়ার্ডগুলি কম্পিউটার নিরাপত্তার ক্ষেত্রে অস্কার এবং গোল্ডেন রাস্পবেরির সমতুল্য বলে বিবেচিত হয় এবং 2007 সাল থেকে প্রতি বছর অনুষ্ঠিত হয়ে আসছে৷

প্রধান বিজয়ীরা и মনোনয়ন:

• সেরা সার্ভার বাগ. একটি নেটওয়ার্ক পরিষেবাতে সবচেয়ে প্রযুক্তিগতভাবে জটিল এবং আকর্ষণীয় বাগ সনাক্ত এবং শোষণের জন্য পুরস্কৃত করা হয়েছে৷ বিজয়ীরা ছিলেন গবেষকরা প্রকাশিত ভিপিএন প্রদানকারী পালস সিকিউরে দুর্বলতা, যার ভিপিএন পরিষেবা টুইটার, উবার, মাইক্রোসফ্ট, এসএলএ, স্পেসএক্স, আকামাই, ইন্টেল, আইবিএম, ভিএমওয়্যার, ইউএস নৌবাহিনী, ইউএস ডিপার্টমেন্ট অফ হোমল্যান্ড সিকিউরিটি (ডিএইচএস) এবং সম্ভবত অর্ধেক ব্যবহার করে Fortune 500 তালিকা থেকে কোম্পানিগুলি। গবেষকরা একটি ব্যাকডোর খুঁজে পেয়েছেন যা একটি অননুমোদিত আক্রমণকারীকে যেকোনো ব্যবহারকারীর পাসওয়ার্ড পরিবর্তন করতে দেয়। একটি VPN সার্ভারে রুট অ্যাক্সেস পেতে সমস্যাটি কাজে লাগানোর সম্ভাবনা দেখানো হয়েছে যেখানে শুধুমাত্র HTTPS পোর্ট খোলা আছে;

  পুরষ্কার পাননি এমন প্রার্থীদের মধ্যে নিম্নলিখিতগুলি উল্লেখ করা যেতে পারে:

  • প্রাক প্রমাণীকরণ পর্যায়ে পরিচালিত দুর্বলতা জেনকিন্স ক্রমাগত ইন্টিগ্রেশন সিস্টেমে, যা আপনাকে সার্ভারে কোড চালানোর অনুমতি দেয়। দুর্বলতা সক্রিয়ভাবে সার্ভারে ক্রিপ্টোকারেন্সি মাইনিং সংগঠিত করতে বট দ্বারা ব্যবহৃত হয়;
  • সংকটপূর্ণ দুর্বলতা এক্সিম মেল সার্ভারে, যা আপনাকে রুট অধিকার সহ সার্ভারে কোড চালানোর অনুমতি দেয়;
  • দুর্বলতা Xiongmai XMeye P2P আইপি ক্যামেরাগুলিতে, আপনাকে ডিভাইসের নিয়ন্ত্রণ নিতে দেয়। ক্যামেরাগুলি একটি ইঞ্জিনিয়ারিং পাসওয়ার্ড দিয়ে সরবরাহ করা হয়েছিল এবং ফার্মওয়্যার আপডেট করার সময় ডিজিটাল স্বাক্ষর যাচাইকরণ ব্যবহার করেনি;
  • সংকটপূর্ণ দুর্বলতা উইন্ডোজে আরডিপি প্রোটোকল বাস্তবায়নে, যা আপনাকে দূরবর্তীভাবে আপনার কোড চালানোর অনুমতি দেয়;
  • ক্ষতিগ্রস্থতা ওয়ার্ডপ্রেসে, একটি ছবির ছদ্মবেশে পিএইচপি কোড লোড করার সাথে যুক্ত। সমস্যাটি আপনাকে সার্ভারে নির্বিচারে কোড চালানোর অনুমতি দেয়, সাইটে প্রকাশনার লেখকের (লেখক) বিশেষাধিকার রয়েছে;
• সেরা ক্লায়েন্ট সফটওয়্যার বাগ. বিজয়ী ছিল সহজ-ব্যবহারযোগ্য দুর্বলতা অ্যাপল ফেসটাইম গ্রুপ কলিং সিস্টেমে, একটি গ্রুপ কলের সূচনাকারীকে কলকারী পক্ষের দ্বারা কল গ্রহণ করতে বাধ্য করার অনুমতি দেয় (উদাহরণস্বরূপ, শোনা এবং স্নুপিংয়ের জন্য)।

  এছাড়াও পুরস্কারের জন্য মনোনীত ছিলেন:

  • ক্ষতিগ্রস্থতা হোয়াটসঅ্যাপে, যা আপনাকে একটি বিশেষভাবে ডিজাইন করা ভয়েস কল পাঠিয়ে আপনার কোড কার্যকর করতে দেয়;
  • ক্ষতিগ্রস্থতা ক্রোম ব্রাউজারে ব্যবহৃত স্কিয়া গ্রাফিক্স লাইব্রেরিতে, যা কিছু জ্যামিতিক রূপান্তরের ফ্লোটিং পয়েন্ট ত্রুটির কারণে মেমরি নষ্ট হতে পারে;
• প্রিভিলেজ ভালনারেবিলিটির সেরা উচ্চতা. শনাক্তকরণের জন্য বিজয়কে পুরস্কৃত করা হয় দুর্বলতা iOS কার্নেলে, যা ipc_voucher এর মাধ্যমে ব্যবহার করা যেতে পারে, Safari ব্রাউজারের মাধ্যমে অ্যাক্সেসযোগ্য।

  এছাড়াও পুরস্কারের জন্য মনোনীত ছিলেন:

  • ক্ষতিগ্রস্থতা Windows-এ, CreateWindowEx (win32k.sys) ফাংশনের মাধ্যমে ম্যানিপুলেশনের মাধ্যমে আপনাকে সিস্টেমের উপর সম্পূর্ণ নিয়ন্ত্রণ লাভ করতে দেয়। ম্যালওয়্যার বিশ্লেষণের সময় সমস্যাটি চিহ্নিত করা হয়েছিল যা এটি সংশোধন করার আগে দুর্বলতাকে কাজে লাগিয়েছিল;
  • ক্ষতিগ্রস্থতা runc এবং LXC-তে, ডকার এবং অন্যান্য কন্টেইনার আইসোলেশন সিস্টেমকে প্রভাবিত করে, আক্রমণকারী দ্বারা নিয়ন্ত্রিত একটি বিচ্ছিন্ন কন্টেইনারকে রানক এক্সিকিউটেবল ফাইল পরিবর্তন করতে এবং হোস্ট সিস্টেমের দিকে রুট সুবিধা পেতে দেয়;
  • ক্ষতিগ্রস্থতা iOS (CFPrefsDaemon) এ, যা আপনাকে বিচ্ছিন্নতা মোডগুলিকে বাইপাস করতে এবং রুট অধিকার সহ কোড কার্যকর করতে দেয়;
  • ক্ষতিগ্রস্থতা অ্যান্ড্রয়েডে ব্যবহৃত লিনাক্স টিসিপি স্ট্যাকের সংস্করণে, একজন স্থানীয় ব্যবহারকারীকে ডিভাইসে তাদের বিশেষাধিকারগুলিকে উন্নত করার অনুমতি দেয়;
  • দুর্বলতা সিস্টেমড-জার্নাল্ডে, যা আপনাকে রুট অধিকার অর্জন করতে দেয়;
  • ক্ষতিগ্রস্থতা পরিষ্কার করার জন্য tmpreaper ইউটিলিটিতে /tmp, যা আপনাকে ফাইল সিস্টেমের যেকোনো অংশে আপনার ফাইল সংরক্ষণ করতে দেয়;
• সেরা ক্রিপ্টোগ্রাফিক আক্রমণ. বাস্তব সিস্টেম, প্রোটোকল এবং এনক্রিপশন অ্যালগরিদমের সবচেয়ে উল্লেখযোগ্য ফাঁক সনাক্ত করার জন্য পুরস্কৃত করা হয়েছে। শনাক্তকরণের জন্য পুরস্কার দেওয়া হয় দুর্বলতা WPA3 ওয়্যারলেস নেটওয়ার্ক সিকিউরিটি টেকনোলজি এবং EAP-pwd-এ, যা আপনাকে সংযোগের পাসওয়ার্ড পুনরায় তৈরি করতে এবং পাসওয়ার্ড না জেনে ওয়্যারলেস নেটওয়ার্কে অ্যাক্সেস পেতে দেয়।

  পুরস্কারের জন্য অন্যান্য প্রার্থীরা হলেন:

  • পদ্ধতি ইমেল ক্লায়েন্টে PGP এবং S/MIME এনক্রিপশনের উপর আক্রমণ;
  • আবেদন এনক্রিপ্ট করা বিটলকার পার্টিশনের বিষয়বস্তুতে অ্যাক্সেস পেতে কোল্ড বুট পদ্ধতি;
  • ক্ষতিগ্রস্থতা OpenSSL-এ, যা আপনাকে ভুল প্যাডিং এবং ভুল MAC প্রাপ্তির পরিস্থিতি আলাদা করতে দেয়। সমস্যাটি প্যাডিং ওরাকলের শূন্য বাইটের ভুল পরিচালনার কারণে হয়;
  • সমস্যার SAML ব্যবহার করে জার্মানিতে ব্যবহৃত আইডি কার্ড সহ;
  • সমস্যা ChromeOS-এ U2F টোকেনগুলির জন্য সমর্থন বাস্তবায়নে র্যান্ডম সংখ্যার এনট্রপি সহ;
  • ক্ষতিগ্রস্থতা মনোসাইফারে, যার কারণে শূন্য EdDSA স্বাক্ষর সঠিক হিসাবে স্বীকৃত হয়েছিল।
• এখন পর্যন্ত সবচেয়ে উদ্ভাবনী গবেষণা. প্রযুক্তির বিকাশকারীকে পুরস্কার দেওয়া হয় ভেক্টরাইজড এমুলেশন, যা প্রোগ্রাম এক্সিকিউশন অনুকরণ করতে AVX-512 ভেক্টর নির্দেশাবলী ব্যবহার করে, যা অস্পষ্ট পরীক্ষার গতিতে উল্লেখযোগ্য বৃদ্ধির অনুমতি দেয় (প্রতি সেকেন্ডে 40-120 বিলিয়ন নির্দেশাবলী পর্যন্ত)। কৌশলটি প্রতিটি সিপিইউ কোরকে 8 64-বিট বা 16 32-বিট ভার্চুয়াল মেশিনগুলিকে অ্যাপ্লিকেশনটির অস্পষ্ট পরীক্ষার জন্য নির্দেশাবলীর সাথে সমান্তরালভাবে চালানোর অনুমতি দেয়।

  নিম্নলিখিত পুরস্কারের জন্য যোগ্য ছিল:

  • ক্ষতিগ্রস্থতা এমএস এক্সেল থেকে পাওয়ার কোয়েরি প্রযুক্তিতে, যা আপনাকে বিশেষভাবে ডিজাইন করা স্প্রেডশীট খোলার সময় কোড এক্সিকিউশন এবং বাইপাস অ্যাপ্লিকেশন আইসোলেশন পদ্ধতিগুলিকে সংগঠিত করতে দেয়;
  • পদ্ধতি টেসলা গাড়ির অটোপাইলটকে প্রতারণা করে আসন্ন লেনে গাড়ি চালাতে প্ররোচিত করা;
  • কাজ ASICS চিপ Siemens S7-1200 এর বিপরীত প্রকৌশল;
  • সোনারস্নুপ - সোনার অপারেশনের নীতির উপর ভিত্তি করে ফোন আনলক কোড নির্ধারণের জন্য আঙুলের নড়াচড়া ট্র্যাকিং কৌশল - স্মার্টফোনের উপরের এবং নীচের স্পিকারগুলি অশ্রাব্য কম্পন তৈরি করে এবং অন্তর্নির্মিত মাইক্রোফোনগুলি থেকে প্রতিফলিত কম্পনের উপস্থিতি বিশ্লেষণ করতে সেগুলি তুলে নেয়৷ হাত;
  • নকশা NSA এর Ghidra রিভার্স ইঞ্জিনিয়ারিং টুলকিট;
  • নিরাপদ — বাইনারি অ্যাসেম্বলির বিশ্লেষণের উপর ভিত্তি করে বেশ কয়েকটি এক্সিকিউটেবল ফাইলে অভিন্ন ফাংশনের জন্য কোডের ব্যবহার নির্ধারণের একটি কৌশল;
  • সৃষ্টি ডিজিটাল স্বাক্ষর যাচাই ছাড়াই পরিবর্তিত UEFI ফার্মওয়্যার লোড করার জন্য ইন্টেল বুট গার্ড মেকানিজমকে বাইপাস করার একটি পদ্ধতি।
• একটি বিক্রেতা থেকে সবচেয়ে খোঁড়া প্রতিক্রিয়া (ল্যামেস্ট ভেন্ডর রেসপন্স)। আপনার নিজের পণ্যের দুর্বলতা সম্পর্কে একটি বার্তার সবচেয়ে অপর্যাপ্ত প্রতিক্রিয়ার জন্য মনোনয়ন। বিজয়ীরা হলেন বিটফাই ক্রিপ্টো ওয়ালেটের বিকাশকারী, যারা তাদের পণ্যের অতি-নিরাপত্তা নিয়ে চিৎকার করে, যা বাস্তবে কাল্পনিক হয়ে ওঠে, গবেষকদের হয়রানি করে যারা দুর্বলতা চিহ্নিত করে এবং সমস্যা চিহ্নিত করার জন্য প্রতিশ্রুত বোনাস প্রদান করে না;

  পুরস্কারের জন্য আবেদনকারীদের মধ্যেও বিবেচনা করা হয়েছে:

  • একজন নিরাপত্তা গবেষক অ্যাট্রিয়েন্টের পরিচালককে অভিযুক্ত করেছেন যে তিনি তাকে চিহ্নিত করা একটি দুর্বলতা সম্পর্কে একটি প্রতিবেদন অপসারণ করতে বাধ্য করার জন্য তাকে আক্রমণ করেছেন, কিন্তু পরিচালক ঘটনাটি অস্বীকার করেছেন এবং নজরদারি ক্যামেরা আক্রমণটি রেকর্ড করেনি;
  • জুম জটিল সমস্যা সমাধানে বিলম্ব করেছে দুর্বলতা এর কনফারেন্সিং সিস্টেমে এবং জনসাধারণের প্রকাশের পরেই সমস্যাটি সংশোধন করে। দুর্বলতা একটি বহিরাগত আক্রমণকারীকে ব্রাউজারে একটি বিশেষভাবে ডিজাইন করা পৃষ্ঠা খোলার সময় macOS ব্যবহারকারীদের ওয়েব ক্যামেরা থেকে ডেটা প্রাপ্ত করার অনুমতি দেয় (জুম ক্লায়েন্ট সাইডে একটি HTTP সার্ভার চালু করেছে যা স্থানীয় অ্যাপ্লিকেশন থেকে কমান্ড পেয়েছে)।
  • 10 বছরেরও বেশি সময় ধরে সংশোধন করতে ব্যর্থ সমস্যা ওপেনপিজিপি ক্রিপ্টোগ্রাফিক কী সার্ভারের সাথে, কোডটি একটি নির্দিষ্ট OCaml ভাষায় লেখা এবং রক্ষণাবেক্ষণকারী ছাড়াই থাকে।

  এখনও পর্যন্ত সবচেয়ে হাইপড দুর্বলতার ঘোষণা. ইন্টারনেট এবং মিডিয়াতে সমস্যাটির সবচেয়ে করুণ এবং বৃহৎ আকারের কভারেজের জন্য পুরস্কৃত করা হয়েছে, বিশেষ করে যদি দুর্বলতা শেষ পর্যন্ত অনুশীলনে অশোভনীয় হয়ে ওঠে। ব্লুমবার্গের জন্য পুরস্কারটি দেওয়া হয়েছিল আবেদন সুপার মাইক্রো বোর্ডগুলিতে গুপ্তচর চিপগুলির সনাক্তকরণ সম্পর্কে, যা নিশ্চিত করা হয়নি এবং উত্সটি একেবারে নির্দেশিত অন্যান্য তথ্য.

  মনোনয়নপত্রে উল্লেখ করা হয়েছে:

  • libssh মধ্যে দুর্বলতা, যা স্পর্শ একক সার্ভার অ্যাপ্লিকেশন (libssh প্রায় কখনই সার্ভারের জন্য ব্যবহার করা হয় না), কিন্তু NCC গ্রুপ দ্বারা একটি দুর্বলতা হিসাবে উপস্থাপন করা হয়েছে যা যেকোনো OpenSSH সার্ভারকে আক্রমণ করার অনুমতি দেয়।
  • DICOM ছবি ব্যবহার করে আক্রমণ। বিন্দু হল যে আপনি উইন্ডোজের জন্য একটি এক্সিকিউটেবল ফাইল প্রস্তুত করতে পারেন যা একটি বৈধ DICOM চিত্রের মতো দেখাবে। এই ফাইলটি মেডিকেল ডিভাইসে ডাউনলোড করা যাবে এবং মৃত্যুদন্ড কার্যকর করা যাবে।
  • ক্ষতিগ্রস্থতা থ্র্যাংরিক্যাট, যা আপনাকে Cisco ডিভাইসে সুরক্ষিত বুট মেকানিজম বাইপাস করতে দেয়। দুর্বলতাকে একটি অত্যধিক সমস্যা হিসাবে শ্রেণীবদ্ধ করা হয়েছে কারণ এটি আক্রমণ করার জন্য রুট অধিকারের প্রয়োজন, কিন্তু যদি আক্রমণকারী ইতিমধ্যেই রুট অ্যাক্সেস লাভ করতে সক্ষম হয়, তাহলে আমরা কী নিরাপত্তা সম্পর্কে কথা বলতে পারি। দুর্বলতা সবচেয়ে কম অনুমিত সমস্যার বিভাগেও জিতেছে, কারণ এটি আপনাকে ফ্ল্যাশে একটি স্থায়ী ব্যাকডোর প্রবর্তন করতে দেয়;
• সবচেয়ে বড় ব্যর্থতা (সর্বাধিক এপিক ব্যর্থ)। ব্লুমবার্গকে এই বিজয় পুরস্কৃত করা হয়েছিল উচ্চ শিরোনাম সহ চাঞ্চল্যকর নিবন্ধগুলির একটি সিরিজের জন্য কিন্তু তৈরি করা তথ্য, উত্সের দমন, ষড়যন্ত্রের তত্ত্বের অবতারণা, "সাইবার অস্ত্র" এর মতো শব্দের ব্যবহার এবং অগ্রহণযোগ্য সাধারণীকরণ। অন্যান্য মনোনীতদের মধ্যে রয়েছে:
  • আসুস ফার্মওয়্যার আপডেট পরিষেবাতে শ্যাডোহ্যামার আক্রমণ;
  • "আনহ্যাকেবল" হিসাবে বিজ্ঞাপিত একটি বিটফাই ভল্ট হ্যাক করা;
  • ব্যক্তিগত তথ্য ফাঁস এবং টোকেন ফেসবুকে অ্যাক্সেস।

উত্স: opennet.ru