Pwnie পুরষ্কার 2021: সবচেয়ে গুরুত্বপূর্ণ নিরাপত্তা দুর্বলতা এবং ব্যর্থতা

বার্ষিক Pwnie পুরস্কার 2021 এর বিজয়ীদের নির্ধারণ করা হয়েছে, কম্পিউটার নিরাপত্তার ক্ষেত্রে সবচেয়ে উল্লেখযোগ্য দুর্বলতা এবং অযৌক্তিক ব্যর্থতা তুলে ধরে। কম্পিউটার নিরাপত্তার ক্ষেত্রে Pwnie পুরস্কারকে অস্কার এবং গোল্ডেন রাস্পবেরির সমতুল্য বলে মনে করা হয়।

প্রধান বিজয়ী (প্রতিযোগীদের তালিকা):

• ভাল বিশেষাধিকার বৃদ্ধির দুর্বলতা। সুডো ইউটিলিটিতে দুর্বলতা CVE-2021-3156 শনাক্ত করার জন্য Qualys-কে এই বিজয় প্রদান করা হয়েছে, যা রুট সুবিধা পাওয়ার অনুমতি দেয়। দুর্বলতাটি প্রায় 10 বছর ধরে কোডটিতে উপস্থিত রয়েছে এবং এটি উল্লেখযোগ্য যে এটি সনাক্ত করার জন্য ইউটিলিটির যুক্তির একটি পুঙ্খানুপুঙ্খ বিশ্লেষণের প্রয়োজন ছিল।
• সেরা সার্ভার বাগ. একটি নেটওয়ার্ক পরিষেবাতে সবচেয়ে প্রযুক্তিগতভাবে জটিল এবং আকর্ষণীয় বাগ সনাক্ত এবং শোষণের জন্য পুরস্কৃত করা হয়েছে৷ মাইক্রোসফ্ট এক্সচেঞ্জে আক্রমণের একটি নতুন ভেক্টর সনাক্ত করার জন্য এই বিজয়কে পুরস্কৃত করা হয়েছিল। এই শ্রেণীর সমস্ত দুর্বলতা সম্পর্কে তথ্য প্রকাশ করা হয়নি, তবে ইতিমধ্যেই দুর্বলতা CVE-2021-26855 (ProxyLogon) সম্পর্কে তথ্য প্রকাশ করা হয়েছে, যা প্রমাণীকরণ ছাড়াই নির্বিচারে ব্যবহারকারীর কাছ থেকে ডেটা বের করার অনুমতি দেয় এবং CVE-2021-27065, যা তৈরি করে প্রশাসকের অধিকার সহ একটি সার্ভারে আপনার কোড চালানো সম্ভব।
• সেরা ক্রিপ্টোগ্রাফিক আক্রমণ। বাস্তব সিস্টেম, প্রোটোকল এবং এনক্রিপশন অ্যালগরিদমের সবচেয়ে উল্লেখযোগ্য ত্রুটিগুলি চিহ্নিত করার জন্য পুরস্কৃত করা হয়েছে৷ উপবৃত্তাকার বক্ররেখা ডিজিটাল স্বাক্ষর বাস্তবায়নে একটি দুর্বলতার (CVE-2020-0601) জন্য মাইক্রোসফ্টকে এই পুরস্কার দেওয়া হয়েছিল যা পাবলিক কী থেকে ব্যক্তিগত কী তৈরি করতে পারে। সমস্যাটি HTTPS এবং কাল্পনিক ডিজিটাল স্বাক্ষরগুলির জন্য জাল TLS শংসাপত্র তৈরি করার অনুমতি দিয়েছে, যা Windows-এ বিশ্বস্ত হিসাবে যাচাই করা হয়েছিল৷
• সবচেয়ে উদ্ভাবনী গবেষণা। প্রসেসরের নির্দেশাবলীর অনুমানমূলক প্রয়োগের ফলে পার্শ্ব-চ্যানেল ফাঁস ব্যবহার করে ঠিকানা র্যান্ডমাইজেশন-ভিত্তিক (ASLR) সুরক্ষা বাইপাস করার জন্য ব্লাইন্ডসাইড পদ্ধতির প্রস্তাব করা গবেষকদের পুরস্কারটি দেওয়া হয়েছিল।
• সবচেয়ে বড় ব্যর্থতা (মোস্ট এপিক ফেইল)। উইন্ডোজ প্রিন্টিং সিস্টেমে প্রিন্ট নাইটমেয়ার (CVE-2021-34527) দুর্বলতার জন্য একাধিক-রিলিজ ব্রেক ফিক্সের জন্য মাইক্রোসফ্টকে এই পুরষ্কার দেওয়া হয়েছিল যা আপনাকে আপনার কোড চালানোর অনুমতি দেয়। প্রথমে, মাইক্রোসফ্ট সমস্যাটিকে স্থানীয় হিসাবে চিহ্নিত করেছিল, কিন্তু তারপরে দেখা গেল যে আক্রমণটি দূর থেকে চালানো যেতে পারে। তারপরে মাইক্রোসফ্ট চারবার আপডেট প্রকাশ করেছে, তবে প্রতিবার ফিক্সটি কেবল একটি বিশেষ ক্ষেত্রে বন্ধ করেছে এবং গবেষকরা আক্রমণ চালানোর একটি নতুন উপায় খুঁজে পেয়েছেন।
• ক্লায়েন্ট সফ্টওয়্যার সেরা বাগ. বিজয়ী হলেন সেই গবেষক যিনি একটি CC EAL 2020+ নিরাপত্তা শংসাপত্র প্রাপ্ত সুরক্ষিত Samsung ক্রিপ্টো প্রসেসরগুলিতে CVE-28341-5 দুর্বলতা চিহ্নিত করেছেন। দুর্বলতার কারণে সুরক্ষা সম্পূর্ণভাবে বাইপাস করা এবং ছিটমহলে সংরক্ষিত চিপ এবং ডেটাতে কার্যকর করা কোডে অ্যাক্সেস লাভ করা, স্ক্রিন সেভার লক বাইপাস করা এবং একটি লুকানো ব্যাকডোর তৈরি করতে ফার্মওয়্যারে পরিবর্তন করা সম্ভব হয়েছে।
• সবচেয়ে অবমূল্যায়িত দুর্বলতা. এক্সিম মেল সার্ভারে 21টি নখের দুর্বলতার একটি সিরিজ সনাক্ত করার জন্য কোয়ালিসকে এই পুরস্কার দেওয়া হয়েছিল, যার মধ্যে 10টি দূর থেকে ব্যবহার করা যেতে পারে। এক্সিম ডেভেলপাররা সমস্যাগুলিকে কাজে লাগানোর সম্ভাবনা নিয়ে সন্দিহান ছিল এবং 6 মাসেরও বেশি সময় ব্যয় করেছে সংশোধন করতে।
• প্রস্তুতকারকের সবচেয়ে লেমার প্রতিক্রিয়া (Lamest Vendor Response)। নিজের পণ্যে দুর্বলতার প্রতিবেদনের জন্য সবচেয়ে অনুপযুক্ত প্রতিক্রিয়ার জন্য মনোনয়ন। বিজয়ী ছিলেন সেলব্রাইট, একটি কোম্পানি যা আইন প্রয়োগের জন্য ফরেনসিক বিশ্লেষণ এবং ডেটা মাইনিং অ্যাপ্লিকেশন তৈরি করে। সিগন্যাল প্রোটোকলের লেখক মক্সি মারলিনস্পাইকের পোস্ট করা একটি দুর্বলতার প্রতিবেদনে সেলিব্রাইট অনুপযুক্তভাবে প্রতিক্রিয়া জানায়। এনক্রিপ্ট করা সিগন্যাল বার্তাগুলিকে হ্যাক করার অনুমতি দেয় এমন একটি প্রযুক্তি তৈরির বিষয়ে একটি মিডিয়া নিবন্ধের পরে মক্সি সেলব্রাইটে আগ্রহী হয়ে ওঠে, যা পরে সেলেব্রাইট ওয়েবসাইটের একটি নিবন্ধে তথ্যের ভুল ব্যাখ্যার কারণে একটি জাল বলে প্রমাণিত হয়েছিল, যা পরে সরানো হয়েছিল (“ আক্রমণ" ফোনে শারীরিক অ্যাক্সেস এবং স্ক্রিন আনলক করার ক্ষমতা প্রয়োজন, যেমন মেসেঞ্জারে বার্তাগুলি দেখার জন্য হ্রাস করা হয়েছে, তবে ম্যানুয়ালি নয়, একটি বিশেষ অ্যাপ্লিকেশন ব্যবহার করে যা ব্যবহারকারীর ক্রিয়াগুলিকে অনুকরণ করে)।

  Moxxi Cellebrite অ্যাপ্লিকেশনগুলি অধ্যয়ন করেছেন এবং সেখানে গুরুতর দুর্বলতাগুলি খুঁজে পেয়েছেন যা বিশেষভাবে ডিজাইন করা ডেটা স্ক্যান করার চেষ্টা করার সময় নির্বিচারে কোড চালানোর অনুমতি দেয়। Cellebrite অ্যাপ্লিকেশনটি একটি পুরানো ffmpeg লাইব্রেরি ব্যবহার করে দেখা গেছে যা 9 বছর ধরে আপডেট করা হয়নি এবং এতে প্রচুর পরিমাণে আনপ্যাচড দুর্বলতা রয়েছে। সমস্যাগুলি স্বীকার করার এবং সমস্যার সমাধান করার পরিবর্তে, Celebrite একটি বিবৃতি জারি করেছে যে এটি ব্যবহারকারীর ডেটার অখণ্ডতার বিষয়ে যত্নশীল, যথাযথ স্তরে তার পণ্যগুলির নিরাপত্তা বজায় রাখে, নিয়মিত আপডেট প্রকাশ করে এবং তার ধরণের সেরা অ্যাপ্লিকেশনগুলি সরবরাহ করে৷

• সবচেয়ে বড় অর্জন। আইডিএ ডিসসেম্বলার এবং হেক্স-রেস ডিকম্পাইলারের লেখক ইলফাক গিলফানভকে এই পুরস্কার দেওয়া হয়, নিরাপত্তা গবেষকদের জন্য সরঞ্জামগুলির উন্নয়নে অবদান এবং 30 বছর ধরে পণ্যটিকে আপ টু ডেট রাখার ক্ষমতার জন্য।

উত্স: opennet.ru