Na konferenciji Black Hat USA u Las Vegasu dodjela nagrada , koji ističe najznačajnije ranjivosti i apsurdne propuste u oblasti računarske bezbednosti. Pwnie nagrade se smatraju ekvivalentom Oskara i Zlatnih malina u oblasti kompjuterske bezbednosti i održavaju se svake godine od 2007.
Glavni и :
- Najbolji serverski bug. Dodjeljuje se za identifikaciju i iskorištavanje tehnički najsloženije i najzanimljivije greške u mrežnoj usluzi. Pobjednici su bili istraživači ranjivost u VPN provajderu Pulse Secure, čiju VPN uslugu koriste Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, američka mornarica, Ministarstvo domovinske sigurnosti SAD-a (DHS) i vjerovatno polovina kompanije sa liste Fortune 500. Istraživači su pronašli backdoor koji omogućava neautorizovanom napadaču da promeni lozinku bilo kog korisnika. Demonstrirana je mogućnost iskorištavanja problema za dobivanje root pristupa VPN serveru na kojem je otvoren samo HTTPS port;
Među kandidatima koji nisu dobili nagradu mogu se istaći:
- Radi u fazi pre-autentifikacije u sistemu kontinuirane integracije Jenkins, koji vam omogućava da izvršite kod na serveru. Ranjivost aktivno koriste botovi za organizaciju rudarenja kriptovaluta na serverima;
- Kritično u Exim serveru pošte, koji vam omogućava da izvršite kod na serveru sa root pravima;
- u Xiongmai XMeye P2P IP kamerama, što vam omogućava da preuzmete kontrolu nad uređajem. Kamere su dobile inženjersku lozinku i nisu koristile verifikaciju digitalnog potpisa prilikom ažuriranja firmvera;
- Kritično u implementaciji RDP protokola u Windows, koji vam omogućava daljinsko izvršavanje vašeg koda;
- u WordPress-u, povezano sa učitavanjem PHP koda pod maskom slike. Problem vam omogućava da izvršite proizvoljan kod na serveru, imajući privilegije autora publikacija (autora) na sajtu;
- Greška najboljeg klijentskog softvera. Pobjednik je bio jednostavan za korištenje u Apple FaceTime sistemu grupnog pozivanja, omogućavajući inicijatoru grupnog poziva da prisili pozvanu stranu da poziv prihvati (na primjer, za slušanje i njuškanje).
Za nagradu su bili nominovani i:
- u WhatsApp-u, koji vam omogućava da izvršite svoj kod slanjem posebno dizajniranog glasovnog poziva;
- u biblioteci grafike Skia koja se koristi u pregledniku Chrome, što može dovesti do oštećenja memorije zbog grešaka s plutajućim zarezom u nekim geometrijskim transformacijama;
- Najbolja ranjivost privilegija. Pobjeda je dodijeljena za identifikaciju u iOS kernelu, koji se može iskoristiti putem ipc_voucher, dostupnog preko Safari pretraživača.
Za nagradu su bili nominovani i:
- u Windows-u, što vam omogućava da dobijete potpunu kontrolu nad sistemom kroz manipulacije sa funkcijom CreateWindowEx (win32k.sys). Problem je identifikovan tokom analize malvera koji je iskoristio ranjivost pre nego što je popravljen;
- u runc i LXC, utičući na Docker i druge sisteme za izolaciju kontejnera, dozvoljavajući izolovanom kontejneru koji kontroliše napadač da promeni izvršnu datoteku runc i dobije root privilegije na strani host sistema;
- u iOS-u (CFPrefsDaemon), koji vam omogućava da zaobiđete izolacijske modove i izvršite kod s root pravima;
- u izdanju Linux TCP steka koji se koristi u Androidu, omogućavajući lokalnom korisniku da podigne svoje privilegije na uređaju;
- u systemd-journald, koji vam omogućava da dobijete root prava;
- u tmpreaper uslužnom programu za čišćenje /tmp, koji vam omogućava da sačuvate datoteku u bilo kom delu sistema datoteka;
- Najbolji kriptografski napad. Dodeljuje se za identifikaciju najznačajnijih nedostataka u stvarnim sistemima, protokolima i algoritmima za šifrovanje. Nagrada je dodijeljena za identifikaciju u tehnologiji zaštite bežične mreže WPA3 i EAP-pwd, koji vam omogućava da ponovo kreirate lozinku za povezivanje i dobijete pristup bežičnoj mreži bez poznavanja lozinke.
Ostali kandidati za nagradu su bili:
- napadi na PGP i S/MIME enkripciju u klijentima e-pošte;
- metod hladnog pokretanja za pristup sadržaju šifrovanih Bitlocker particija;
- u OpenSSL-u, koji vam omogućava da odvojite situacije primanja neispravnog dopuna i pogrešnog MAC-a. Problem je uzrokovan nepravilnim rukovanjem nula bajtova u proročištu za popunjavanje;
- sa ličnim kartama koje se koriste u Njemačkoj koristeći SAML;
- sa entropijom slučajnih brojeva u implementaciji podrške za U2F tokene u ChromeOS-u;
- u Monocypheru, zbog čega su nulti EdDSA potpisi prepoznati kao ispravni.
- Najinovativnije istraživanje ikada. Nagrada je dodijeljena developeru tehnologije , koji koristi AVX-512 vektorske instrukcije za emulaciju izvršavanja programa, omogućavajući značajno povećanje brzine fuzing testiranja (do 40-120 milijardi instrukcija u sekundi). Tehnika omogućava da svako CPU jezgro pokreće 8 64-bitnih ili 16 32-bitnih virtuelnih mašina paralelno sa uputstvima za fuzzing testiranje aplikacije.
Pravo na nagradu su imali:
- u tehnologiji Power Query iz MS Excel-a, koja vam omogućava da organizirate izvršavanje koda i zaobiđete metode izolacije aplikacija prilikom otvaranja posebno dizajniranih tabela;
- obmanjivanje autopilota Tesla automobila da izazove vožnju u nadolazeću traku;
- obrnuti inženjering ASICS čipa Siemens S7-1200;
- - tehnika praćenja pokreta prsta za određivanje koda za otključavanje telefona, na osnovu principa rada sonara - gornji i donji zvučnik pametnog telefona generiraju nečujne vibracije, a ugrađeni mikrofoni ih hvataju kako bi analizirali prisutnost vibracija koje se reflektiraju od ruka;
- NSA-in Ghidra alat za obrnuti inženjering;
- — tehnika za određivanje upotrebe koda za identične funkcije u nekoliko izvršnih datoteka na osnovu analize binarnih sklopova;
- metoda za zaobilaženje mehanizma Intel Boot Guard za učitavanje modificiranog UEFI firmvera bez provjere digitalnog potpisa.
- Najjadnija reakcija prodavca (Najslabiji odgovor dobavljača). Nominacija za najneadekvatniji odgovor na poruku o ranjivosti u vlastitom proizvodu. Pobjednici su programeri BitFi kripto novčanika, koji viču o ultra-sigurnosti svog proizvoda, koji se u stvarnosti pokazao izmišljenim, maltretiraju istraživače koji identificiraju ranjivosti, a ne plaćaju obećane bonuse za identificiranje problema;
Među prijavljenima za nagradu smatra se i:
- Istraživač sigurnosti optužio je direktora Atrienta da ga je napao kako bi ga natjerao da ukloni izvještaj o ranjivosti koju je identifikovao, ali direktor negira incident i nadzorne kamere nisu snimile napad;
- Zoom je odložio rješavanje kritičnog problema u svom konferencijskom sistemu i otklonio problem tek nakon objavljivanja javnosti. Ranjivost je omogućila eksternom napadaču da dobije podatke sa web kamera korisnika macOS-a prilikom otvaranja posebno dizajnirane stranice u pretraživaču (Zoom je pokrenuo http server na strani klijenta koji je primao komande od lokalne aplikacije).
- Neispravka više od 10 godina sa OpenPGP serverima kriptografskih ključeva, navodeći činjenicu da je kod napisan na određenom OCaml jeziku i ostaje bez održavaoca.
Najveća najava ranjivosti do sada. Dodjeljuje se za najpatetičnije i najšire izvještavanje o problemu na internetu i medijima, posebno ako se ranjivost na kraju pokaže kao neiskorištena u praksi. Nagrada je dodijeljena Bloombergu za o identifikaciji špijunskih čipova u Super Micro pločama, što nije potvrđeno, a izvor je apsolutno naveo .
Navedeno u nominaciji:
- Ranjivost u libssh, koji aplikacije sa jednim serverom (libssh se skoro nikada ne koristi za servere), ali ga je NCC grupa predstavila kao ranjivost koja omogućava napad na bilo koji OpenSSH server.
- Napad pomoću DICOM slika. Poenta je da možete pripremiti izvršnu datoteku za Windows koja će izgledati kao valjana DICOM slika. Ovaj fajl se može preuzeti na medicinski uređaj i izvršiti.
- Ranjivost , koji vam omogućava da zaobiđete mehanizam bezbednog pokretanja na Cisco uređajima. Ranjivost je klasifikovana kao prenapuhan problem jer zahtijeva root prava za napad, ali ako je napadač već mogao dobiti root pristup, o kakvoj sigurnosti onda možemo govoriti. Ranjivost je takođe pobedila u kategoriji najpotcenjenijih problema, jer vam omogućava da uvedete trajni backdoor u Flash;
- Najveći neuspjeh (Most Epic FAIL). Pobjeda je dodijeljena Bloombergu za seriju senzacionalnih članaka sa glasnim naslovima, ali izmišljenim činjenicama, zataškavanjem izvora, spuštanjem u teorije zavjere, upotrebom termina kao što je "cyber oružje" i neprihvatljivim generalizacijama. Ostali nominovani su:
- Shadowhammer napad na Asus uslugu ažuriranja firmvera;
- Hakovanje BitFi trezora koji se reklamira kao „nehakovan“;
- Curenje ličnih podataka i pristup Facebooku.
izvor: opennet.ru