Na nedávné konferenci Black Hat USA v Las Vegas ceremoniál udílení cen , v rámci kterého byly vyzdvihnuty nejvýznamnější zranitelnosti a absurdní selhání v oblasti počítačové bezpečnosti. Pwnie Awards se považují za ekvivalent Oscarů a Zlaté maliny v oblasti počítačové bezpečnosti a konají se každý rok od roku 2007.
Hlavní a :
- Nejlepší serverová chyba. Přiznávají se za odhalení a exploitaci nejnáročnější a nejzajímavější chyby v síťové službě. Vítězi byli uznáni výzkumníci, zranitelnost u VPN poskytovatele Pulse Secure, jehož VPN služba se používá u Twitteru, Uberu, Microsoftu, sla, SpaceX, Akamai, Intelu, IBM, VMware, U.S. Navy, Ministerstva vnitřní bezpečnosti (DHS) USA a pravděpodobně v polovině společností ze seznamu Fortune 500. Výzkumníci našli zadní vrátka, která umožňují neautentizovanému útočníkovi změnit heslo jakéhokoli uživatele. Byly demonstrovány možnosti exploatace problému pro získání root přístupu k VPN serveru, na kterém je otevřen pouze port HTTPS;
Mezi nezískané nominované bychom mohli vzpomenout:
- Exploatovatelné na úrovni před provedením autentizace v systému kontinuální integrace Jenkins, které umožňuje provést kód na serveru. Zranitelnost je aktivně používána boty k organizaci těžby kryptoměn na serverech;
- Kritická v poštovním serveru Exim, která umožňuje provést kód na serveru s právy root;
- v IP kamerách Xiongmai XMeye P2P, které umožňují uchvátit kontrolu nad zařízeními. Kamery byly dodávány s inženýrským heslem a při aktualizaci firmwaru neprováděly kontrolu digitálním podpisem;
- Kritická v implementaci protokolu RDP ve Windows, která umožňuje vzdálené spuštění vlastního kódu;
- v WordPressu, související s nahráváním PHP kódu pod záminkou obrázku. Problém umožňuje provedení libovolného kódu na serveru s privilegiemi autora publikací na webu;
- Nejlepší chyba v klientském softwaru. Vítězem je uznávaná snadno exploatovaná v systému skupinových hovorů Apple FaceTime, která umožňuje iniciátoru skupinového hovoru vynutit příjem hovoru na straně volaného účastníka (například pro odposlech a špehování).
O cenu také soutěžili:
- v aplikaci WhatsApp, která umožňuje provádět vlastný kód prostřednictvím speciálně formátovaného telefonního hovoru;
- v grafické knihovně Skia, používané v prohlížeči Chrome, která může vést k poškození paměti kvůli chybám při provádění operací s plovoucí desetinou čárkou během některých geometrických transformací;
- Nejlepší zranitelnost, vedoucí k zvýšení oprávnění.Ocenění bylo uděleno za objevování v jádře iOS, kterou lze zneužít prostřednictvím ipc_voucher, dostupného přes prohlížeč Safari.
O cenu také soutěžili:
- ve Windows, která umožňuje získat plnou kontrolu nad systémem prostřednictvím manipulace s funkcí CreateWindowEx (win32k.sys). Problém byl odhalen během analýzy škodlivého softwaru, který zneužíval zranitelnost před jejím opravou;
- v runc a LXC, dotýkající se Dockera a dalších systémů kontejnerové izolace, což umožňuje útočníkovi pod kontrolou z izolovaného kontejneru změnit spustitelný soubor runc a získat root oprávnění na straně hostitelského systému;
- v iOS (CFPrefsDaemon), která umožňuje obejít izolační režimy a provést kód s právy root;
- v epizodě TCP zásobníku Linuxu používaném v Androidu, která umožňuje místnímu uživateli zvýšit svá oprávnění na zařízení;
- v systemd-journald, což umožňuje získat práva root;
- v utilitě tmpreaper pro úklid /tmp, umožňující uložit svůj soubor do jakékoli části FS;
- Nejlepší kryptografický útok.Ocenění bylo uděleno za objev nejvýznamnějších zranitelností v reálných systémech, protokolech a šifrovacích algoritmech. Cenu získal za objev v technologii ochrany bezdrátových sítí WPA3 a v EAP-pwd, což umožňuje obnovit přístupové heslo a získat přístup k bezdrátové síti bez znalosti hesla.
Mezi kandidáty na cenu byli také:
- útoky na šifrování PGP a S/MIME v e-mailových klientech;
- metoda studeného restartování pro získání přístupu k obsahu šifrovaných oddílů Bitlocker;
- v OpenSSL, což umožňuje oddělit situace, kdy dochází k nesprávnému dodatečnému paddingu a nesprávnému MAC. Problém je způsoben nesprávným zpracováním nulových bytů v paddingu (padding oracle);
- s identifikačními kartami používanými v Německu, které využívají SAML;
- s entropií náhodných čísel v realizaci podpory tokenů U2F v ChromeOS;
- v Monocypher, kvůli které byly považovány za správné nulové podpisy EdDSA.
- Nejinovativnější výzkum. Cena byla udělena vývojáři technologie , která využívá vektorové instrukce AVX-512 k emulaci vykonávání programů, což umožňuje výrazné zvýšení rychlosti fuzzingového testování (až 40-120 miliard instrukcí za sekundu). Technika umožňuje na každém jádru CPU paralelně vykonávat 8 64bitových nebo 16 32bitových virtuálních strojů s instrukcemi pro fuzzingové testování aplikací.
O cenu se ucházelo:
- v technologii Power Query z MS Excel, která umožňuje organizaci vykonávání kódu a obcházení metod izolace aplikací při otevření speciálně formátovaných tabulek;
- podvodu autopilota automobilů Tesla k provokaci výjezdu na protijedoucí pruh;
- z reverse engineeringu čipu ASICS Siemens S7-1200;
- — technika sledování pohybu prstů pro určení kódu odemykání telefonu, založená na principu sonarového fungování — horní a dolní reproduktory smartphonu generují neslyšitelné vibrace, zatímco vestavěné mikrofony je zachycují pro analýzu existence odražených vibrací od ruky;
- v nástrojích NSA pro reverse engineering Ghidra;
- — technika určování používání kódu stejných funkcí v několika spustitelných souborech na základě analýzy binárních sestavení;
- metody obcházení mechanismu Intel Boot Guard pro načítání modifikovaných UEFI firmwarů bez ověření digitálním podpisem.
- Nejvíce lamecká reakce dodavatele (Nejlamější reakce dodavatele). Nominace za nejvíce neadekvátní reakci na oznámení o zranitelnosti ve vlastním produktu. Vítězi se stali vývojáři kryptopeněženky BitFi, kteří vykřikují o superbezpečnosti svého produktu, která se ve skutečnosti ukázala jako iluzorní, a kteří se obávají o výzkumníky, kteří odhalují zranitelnosti, a nevyplácí slíbené ceny za hlášení problémů;
Mezi nominovanými na cenu byli také zvažováni:
- Bezpečnostní výzkumník obvinil ředitele společnosti Atrient z útoku s cílem donutit ho k odstranění zprávy o zranitelnosti, kterou odhalil, ale ředitel incident popírá a kamerové záznamy nezachytily žádný útok;
- Společnost Zoom oddalovala opravu kritické V jejich konferenčním systému byla chyba opravena až po veřejném odhalení. Zranitelnost umožnila útočníkovi získat data z webových kamer uživatelů macOS na základě speciálně formátované stránky, kterou v prohlížeči otevřeli (Zoom na straně klienta spouštěl http server, přijímající příkazy od lokální aplikace).
- Neschopnost opravit po dobu více než 10 let s servery kryptografických klíčů OpenPGP, přičemž se odůvodnilo, že kód je napsán ve specifickém jazyce OCaml a zůstává bez údržby.
Nejvíce nafouknuté oznámení o zranitelnosti. Oceněno za nejvíce grandiózní a rozsáhlé osvětlení problému na internetu a v médiích, zejména pokud se na konci ukáže, že zranitelnost není prakticky zneužitelná. Cenu obdržel magazín Bloomberg za odhalení špionážních čipů na deskách Super Micro, které se nepotvrdilo, a zdroj uvedl zcela .
V nominaci byly zmíněny:
- Zranitelnost v libssh, která jednotkových serverových aplikací (libssh se skoro nepoužívá pro servery), ale byla prezentována skupinou NCC Group jako zranitelnost, která umožňuje útok na jakýkoli server OpenSSH.
- Útok prostřednictvím DICOM obrázků. Podstata spočívá v tom, že lze připravit spustitelný soubor pro Windows, který bude vypadat jako platný obrázek ve formátu DICOM. Tento soubor lze nahrát na lékařské zařízení a provést.
- Zranitelnost , který umožňuje obcházet mechanismus zabezpečeného spouštění na zařízeních Cisco. Zranitelnost byla zařazena mezi nafouknuté problémy, neboť k útoku vyžaduje oprávnění root, ale pokud se útočníkovi podařilo získat root přístup, není o žádné bezpečnosti co říct. Zranitelnost zároveň vyhrála v kategorii nejvíce podceňovaných problémů, neboť umožňuje zavedení trvalého backdooru do Flash;
- Největší selhání (Most Epic FAIL). Cenu obdržel magazín Bloomberg za řadu senzacechtivých článků s dramatickými titulky, ale vymyslenými fakty, zamlčováním zdrojů, sklouzáváním do teorií spiknutí, používáním termínů jako „kyberzbraně“ a nepřijatelnými zobecněními. Mezi dalšími nominanty:
- Útok Shadowhammer na službu aktualizace firmwaru Asus;
- Proražení úložiště BitFi, propagovaného jako „nezničitelné“;
- Úniky osobních údajů a přístupy na Facebook.
Zdroj: opennet.ru
