På den nyligt afholdte konference Black Hat USA i Las Vegas en prisceremoni , hvor de mest betydningsfulde sårbarheder og absurde fiaskoer inden for computersikkerhed er blevet fremhævet. Pwnie Awards betragtes som en pendant til Oscarerne og de Gyldne Framboer i computersikkerhed og afholdes årligt siden 2007.
Vigtige og :
- Bedste serverfejl. Tildeles for opdagelsen og udnyttelsen af den mest teknisk komplekse og interessante fejl i en netværkstjeneste. Vinderne anerkendes for en sårbarhed hos VPN-udbyderen Pulse Secure, hvis VPN-service anvendes af Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, den amerikanske flåde, ministeriet for indenlandsk sikkerhed (DHS) i USA og sandsynligvis halvdelen af selskaberne på Fortune 500-listen. Forskere fandt en bagdør, der tillader en uautoriseret angriber at ændre enhver brugers adgangskode. Muligheden for at udnytte problemet til at få root-adgang til VPN-serveren, hvor kun HTTPS-porten er åben, er blevet demonstreret;
Blandt de ikke-prisbelønnede kandidater kan nævnes:
- En sårbarhed, der kan udnyttes før godkendelsesprocessen i Jenkins' kontinuerlige integrationssystem, der muliggør udførelse af kode på serveren. Sårbarheden udnyttes aktivt af bots til at organisere kryptovaluta-minedrift på serverne;
- Kritisk i mailserveren Exim, der tillader udførelse af kode på serveren med root-rettigheder;
- i Xiongmai XMeye P2P IP-kameraer, der tillader overtagelse af enheden. Kamererne blev leveret med en ingeniør-adgangskode og brugte ikke digital signaturkontrol ved firmwareopdateringer;
- Kritisk i implementeringen af RDP-protokollen i Windows, der tillader fjernudførelse af egen kode;
- i WordPress, som har forbindelse til upload af PHP-kode under dække af billeder. Problemet giver mulighed for at køre vilkårlig kode på serveren med publikationsforfatterens (Author) rettigheder på webstedet;
- Bedste klientsoftwarefejl. Vinderne er anerkendt for den let udnyttelige fejl i Apples FaceTime-gruppeopkaldssystem, der gør det muligt for initiatoren af gruppeopkaldet at tvinge modtageren til at besvare opkaldet (f.eks. til aflytning og overvågning).
Prisen blev også kæmpet om af:
- i WhatsApp, der gør det muligt at udføre sin kode ved at sende et specielt formateret telefonsvar;
- i grafikbiblioteket Skia, der anvendes i browseren Chrome, hvilket kan føre til hukommelsesskader på grund af flydende punktfejl ved visse geometriske transformationer;
- Den bedste sårbarhed, der fører til forhøjede privilegier. Prisen tildeles for opdagelsen af i iOS-kernen, som kan udnyttes via ipc_voucher, tilgængelig gennem browseren Safari.
Prisen blev også kæmpet om af:
- i Windows, der giver fuld kontrol over systemet gennem manipulation af funktionen CreateWindowEx (win32k.sys). Problemet blev opdaget under analysen af malware, der udnyttede sårbarheden før dens rettelse;
- i runc og LXC, der påvirker Docker og andre containerisolationssystemer, hvilket gør det muligt for en kontrolleret angriber i en isoleret container at ændre runc-executabelfilen og opnå root-rettigheder på værtssystemet;
- i iOS (CFPrefsDaemon), der tillader omgåelse af isolationsmetoder og udførelse af kode med root-rettigheder;
- i TCP-stakken i Linux, der anvendes i Android, hvilket gør det muligt for en lokal bruger at hæve sine privilegier på enheden;
- i systemd-journald, der tillader opnåelse af root-rettigheder;
- i værktøjet tmpreaper til oprydning i /tmp, der gør det muligt at bevare sin fil hvor som helst i FS;
- Den bedste kryptografiske angreb. Tildeles for opdagelsen af de mest betydningsfulde huller i reelle systemer, protokoller og krypteringsalgoritmer. Prisen blev tildelt for opdagelsen af i WPA3 trådløse netværkssikkerhedsteknologien og EAP-pwd, der gør det muligt at rekonstruere forbindelsesadgangskoden og få adgang til et trådløst netværk uden at kende adgangskoden.
Kandidaterne til prisen inkluderede også:
- angreb på PGP- og S/MIME-kryptering i e-mailklienter;
- metoden til kold genstart for at få adgang til indholdet af krypterede Bitlocker-partitioner;
- i OpenSSL, hvilket muliggør adskillelse af situationer med forkert og korrekt padding og forkert MAC. Problemet skyldes forkert håndtering af nul-byte i padding (padding oracle);
- ved brug af identifikationskort i Tyskland, der bruger SAML;
- med entropien af tilfældige tal i realiseringen af U2F-tokenstøtte i ChromeOS;
- i Monocypher, som gjorde det muligt at anerkende nul EdDSA-signaturer som gyldige.
- Den mest innovative forskning. Prisen tildeles udvikleren af teknikken , der anvender vektoriske instruktioner AVX-512 til at emulere udførelsen af programmer, hvilket muliggør en betydelig stigning i hastigheden af fuzzing-testning (op til 40-120 milliarder instruktioner pr. sekund). Teknikken tillader at udføre 8 64-bit eller 16 32-bit virtuelle maskiner parallelt på hver CPU-kerne med instruktioner til fuzzing-testning af applikationen.
Til prisen blev nomineret:
- teknologi Power Query fra MS Excel, der muliggør kodens udførelse og omgåelse af isoleringsmetoder for applikationer ved åbning af specielt udformede regneark;
- manipulation af autopiloten i Tesla-biler for at fremprovokere kørsel ind i den modsatte vejbane;
- med reverse engineering af ASICS-chippen Siemens S7-1200;
- — teknik til overvågning af fingerbevægelser for at bestemme koden til opkobling af telefonen, baseret på princippet for sonar — de øvre og nedre højttalere i smartphonen genererer uhørlige vibrationer, mens indbyggede mikrofoner opfanger dem for at analysere tilstedeværelsen af reflekterede vibrationer fra hænder;
- i NSA's værktøjs-tilbageførsel Ghidra;
- — teknik til at identificere anvendelsen af koden fra de samme funktioner i flere eksekverbare filer baseret på analyse af binære sammensætninger;
- metode til at omgå Intel Boot Guard-mekanismen for at indlæse modificerede UEFI-firmware uden kontrol af digital signatur.
- Den mest lammede reaktion fra leverandøren (Lamest Vendor Response). Nominering for den mest ubegrundede reaktion på en rapport om sårbarhed i ens eget produkt. Vinderen blev udviklerne af kryptovaluta-tegnebogen BitFi, der praler af den ekstreme sikkerhed af deres produkt, som i virkeligheden viste sig at være illusorisk, der forfølger forskere, der identificerer sårbarheder, og som ikke udbetaler lovede præmier for at opdage problemer;
Blandt kandidaterne til prisen blev også overvejet:
- En sikkerhedsforsker anklagede direktøren for Atrient for angreb for at tvinge ham til at slette den rapport om den sårbarhed, han havde identificeret, men direktøren afviser hændelsen, og overvågningskameraer fangede ikke dette angreb;
- Virksomheden Zoom forsinkede rettelsen af en kritisk I deres konferencekommunikationssystem og løste først problemet efter offentlig omtale. Sårbarheden gjorde det muligt for en ekstern angriber at få adgang til data fra webkameraer på brugeres macOS, når der blev åbnet en specielt designet side i browseren (Zoom startede en HTTP-server på klientsiden, der modtog kommandoer fra det lokale program).
- Manglende evne til at rette med servere til kryptografiske nøgler OpenPGP, begrundet med at koden er skrevet i det specifikke sprog OCaml og ikke har nogen vedligeholder.
Den mest oppustede meddelelse om sårbarhed. Tildeles for den mest pompøse og omfattende dækning af problemet på internettet og i medierne, især hvis sårbarheden viser sig at være uudnyttelig i praksis. Prisen gik til mediet Bloomberg for opdagelsen af spionchips i Super Micro-kort, som ikke blev bekræftet, og kilden nævnte faktisk .
Nomineret er:
- Sårbarheden i libssh, som enkeltserverapplikationer (libssh anvendes næsten ikke til servere), men blev præsenteret af NCC Group som en sårbarhed, der gjorde det muligt at angribe enhver OpenSSH-server.
- Angreb ved brug af DICOM-billeder. Pointen er, at man kan forberede en eksekverbar fil til Windows, der ser ud som et gyldigt DICOM-billede. Denne fil kan uploades til et medicinsk udstyr og udføres.
- Sårbarhed , som gør det muligt at omgå mekanismen for sikker opstart på Cisco-enheder. Sårbarheden er blevet klassificeret som et oppustet problem, da det kræver root-rettigheder for at angribe, men hvis angriberen allerede har fået root-adgang, hvad er der så tilbage af sikkerhed? Sårbarheden vandt samtidig i kategorien de mest undervurderede problemer, da den muliggør indførelse af en vedholdende bagdør i Flash;
- Den største fiasko (Most Epic FAIL). Prisen blev givet til mediet Bloomberg for en række sensationelle artikler med dramatiske overskrifter, men opfundne fakta, fortielser af kilder, nedruldning i konspirationsteorier, anvendelse af termer som "cybervåben" og utilgængelige generaliseringer. Andre nominerede inkluderer:
- Shadowhammer-angrebet på Asus' firmware-opdateringstjeneste;
- Hacket af BitFi-lageret, som blev præsenteret som "umuligt at hacke";
- Lækager af personlige oplysninger og tilgang til Facebook.
Kilde: opennet.ru
