પ્વની એવોર્ડ્સ 2021: સૌથી મહત્વપૂર્ણ સુરક્ષા નબળાઈઓ અને નિષ્ફળતાઓ

વાર્ષિક પ્વની એવોર્ડ્સ 2021 ના ​​વિજેતાઓ નક્કી કરવામાં આવ્યા છે, જે કમ્પ્યુટર સુરક્ષાના ક્ષેત્રમાં સૌથી નોંધપાત્ર નબળાઈઓ અને વાહિયાત નિષ્ફળતાઓને પ્રકાશિત કરે છે. કોમ્પ્યુટર સિક્યોરિટીમાં પ્વની એવોર્ડને ઓસ્કાર અને ગોલ્ડન રાસ્પબેરીની સમકક્ષ ગણવામાં આવે છે.

મુખ્ય વિજેતાઓ (સ્પર્ધકોની યાદી):

• વધુ સારી વિશેષાધિકાર વૃદ્ધિ નબળાઈ. સુડો યુટિલિટીમાં નબળાઈ CVE-2021-3156ને ઓળખવા માટે Qualys ને આ વિજય એનાયત કરવામાં આવ્યો હતો, જે રૂટ વિશેષાધિકારો મેળવવા માટે પરવાનગી આપે છે. નબળાઈ લગભગ 10 વર્ષથી કોડમાં હાજર છે અને તે હકીકત માટે નોંધપાત્ર છે કે તેને ઓળખવા માટે ઉપયોગિતાના તર્કનું સંપૂર્ણ વિશ્લેષણ જરૂરી હતું.
• શ્રેષ્ઠ સર્વર બગ. નેટવર્ક સેવામાં સૌથી વધુ તકનીકી રીતે જટિલ અને રસપ્રદ બગને ઓળખવા અને તેનું શોષણ કરવા બદલ પુરસ્કાર આપવામાં આવ્યો. માઈક્રોસોફ્ટ એક્સચેન્જ પર હુમલાના નવા વેક્ટરને ઓળખવા બદલ આ વિજય આપવામાં આવ્યો હતો. આ વર્ગની તમામ નબળાઈઓ વિશેની માહિતી પ્રકાશિત કરવામાં આવી નથી, પરંતુ નબળાઈ CVE-2021-26855 (પ્રોક્સીલોગન) વિશે માહિતી પહેલેથી જ જાહેર કરવામાં આવી છે, જે પ્રમાણીકરણ વિના મનસ્વી વપરાશકર્તા પાસેથી ડેટા કાઢવાની મંજૂરી આપે છે, અને CVE-2021-27065, જે બનાવે છે એડમિનિસ્ટ્રેટર અધિકારો સાથે સર્વર પર તમારા કોડને એક્ઝિક્યુટ કરવું શક્ય છે.
• શ્રેષ્ઠ ક્રિપ્ટોગ્રાફિક હુમલો. વાસ્તવિક સિસ્ટમો, પ્રોટોકોલ્સ અને એન્ક્રિપ્શન અલ્ગોરિધમ્સમાં સૌથી નોંધપાત્ર ખામીઓને ઓળખવા માટે પુરસ્કાર આપવામાં આવ્યો. માઇક્રોસોફ્ટને એલિપ્ટિક કર્વ ડિજિટલ સિગ્નેચરના અમલીકરણમાં નબળાઈ (CVE-2020-0601) માટે આપવામાં આવ્યો હતો જે જાહેર કીમાંથી ખાનગી કી જનરેટ કરી શકે છે. સમસ્યાએ HTTPS અને બનાવટી ડિજિટલ હસ્તાક્ષરો માટે નકલી TLS પ્રમાણપત્રો બનાવવાની મંજૂરી આપી, જે Windows માં વિશ્વસનીય તરીકે ચકાસવામાં આવ્યા હતા.
• સૌથી નવીન સંશોધન. પ્રોસેસર દ્વારા સૂચનાઓના સટ્ટાકીય અમલના પરિણામે સાઇડ-ચેનલ લીક્સનો ઉપયોગ કરીને એડ્રેસ રેન્ડમાઇઝેશન બેઝ્ડ લિવરેજ (ASLR) સુરક્ષાને બાયપાસ કરવા માટે બ્લાઇન્ડસાઇડ પદ્ધતિનો પ્રસ્તાવ મૂકનાર સંશોધકોને એવોર્ડ આપવામાં આવ્યો હતો.
• સૌથી મોટી નિષ્ફળતા (મોસ્ટ એપિક ફેઇલ). વિન્ડોઝ પ્રિન્ટિંગ સિસ્ટમમાં પ્રિંટનાઈટમેર (CVE-2021-34527) નબળાઈ માટે મલ્ટિપલ-રિલીઝ બ્રેક ફિક્સ માટે માઇક્રોસોફ્ટને એવોર્ડ આપવામાં આવ્યો હતો જે તમને તમારો કોડ એક્ઝિક્યુટ કરવાની મંજૂરી આપે છે. શરૂઆતમાં, માઇક્રોસોફ્ટે સમસ્યાને સ્થાનિક તરીકે ફ્લેગ કરી, પરંતુ પછી તે બહાર આવ્યું કે હુમલો દૂરથી કરી શકાય છે. પછી માઇક્રોસોફ્ટે ચાર વખત અપડેટ્સ પ્રકાશિત કર્યા, પરંતુ દરેક વખતે ફિક્સે ફક્ત એક ખાસ કેસ બંધ કર્યો, અને સંશોધકોએ હુમલો કરવા માટે એક નવો રસ્તો શોધી કાઢ્યો.
• ક્લાયંટ સોફ્ટવેરમાં શ્રેષ્ઠ બગ. વિજેતા સંશોધક હતા જેમણે CC EAL 2020+ સુરક્ષા પ્રમાણપત્ર મેળવનાર સુરક્ષિત સેમસંગ ક્રિપ્ટો પ્રોસેસર્સમાં CVE-28341-5 નબળાઈ ઓળખી હતી. નબળાઈએ સુરક્ષાને સંપૂર્ણપણે બાયપાસ કરવાનું અને એન્ક્લેવમાં સંગ્રહિત ચિપ અને ડેટા પર એક્ઝિક્યુટ કરવામાં આવેલ કોડની ઍક્સેસ મેળવવાનું, સ્ક્રીન સેવર લૉકને બાયપાસ કરવાનું અને છુપાયેલ બેકડોર બનાવવા માટે ફર્મવેરમાં ફેરફાર કરવાનું શક્ય બનાવ્યું.
• સૌથી ઓછો અંદાજ કરાયેલ નબળાઈ. એક્ઝિમ મેઇલ સર્વરમાં 21 નેલ્સ નબળાઈઓની શ્રેણીને ઓળખવા માટે ક્વોલિસને એવોર્ડ આપવામાં આવ્યો હતો, જેમાંથી 10નો દૂરથી ઉપયોગ કરી શકાય છે. એક્ઝિમ વિકાસકર્તાઓ સમસ્યાઓનો ઉપયોગ કરવાની સંભાવના વિશે શંકાસ્પદ હતા અને ફિક્સેસ વિકસાવવામાં 6 મહિનાથી વધુ સમય પસાર કર્યો હતો.
• ઉત્પાદકની સૌથી લેમર પ્રતિક્રિયા (લેમેસ્ટ વેન્ડર રિસ્પોન્સ). પોતાના ઉત્પાદનમાં નબળાઈના અહેવાલ માટે સૌથી અયોગ્ય પ્રતિભાવ માટે નામાંકન. વિજેતા Cellebrite હતી, જે કાયદાના અમલીકરણ માટે ફોરેન્સિક વિશ્લેષણ અને ડેટા માઇનિંગ એપ્લિકેશન્સ બનાવે છે. સિગ્નલ પ્રોટોકોલના લેખક, મોક્સી માર્લિન્સપાઇક દ્વારા પોસ્ટ કરાયેલ નબળાઈના અહેવાલને સેલેબ્રાઈટે અયોગ્ય રીતે જવાબ આપ્યો. એન્ક્રિપ્ટેડ સિગ્નલ સંદેશાઓને હેક કરવાની મંજૂરી આપતી ટેક્નોલોજીની રચના વિશેના મીડિયા લેખ પછી Moxxiને Celebriteમાં રસ પડ્યો, જે પાછળથી Celebrite વેબસાઇટ પરના લેખમાં માહિતીના ખોટા અર્થઘટનને કારણે નકલી હોવાનું બહાર આવ્યું, જે પછી દૂર કરવામાં આવ્યું (“ હુમલા” માટે ફોનની ભૌતિક ઍક્સેસ અને સ્ક્રીનને અનલૉક કરવાની ક્ષમતાની આવશ્યકતા હતી, એટલે કે મેસેન્જરમાં સંદેશાઓ જોવા માટે ઘટાડવામાં આવે છે, પરંતુ મેન્યુઅલી નહીં, પરંતુ વપરાશકર્તાની ક્રિયાઓનું અનુકરણ કરતી વિશિષ્ટ એપ્લિકેશનનો ઉપયોગ કરીને).

  Moxxi એ Celebrite એપ્લીકેશનનો અભ્યાસ કર્યો અને ત્યાં ગંભીર નબળાઈઓ મળી કે જે ખાસ રીતે રચાયેલ ડેટાને સ્કેન કરવાનો પ્રયાસ કરતી વખતે મનસ્વી કોડને અમલમાં મૂકવાની મંજૂરી આપે છે. Celebrite એપ્લિકેશન પણ જૂની ffmpeg લાઇબ્રેરીનો ઉપયોગ કરતી હોવાનું જાણવા મળ્યું હતું જે 9 વર્ષથી અપડેટ કરવામાં આવ્યું નથી અને તેમાં મોટી સંખ્યામાં અનપેચ્ડ નબળાઈઓ છે. સમસ્યાઓનો સ્વીકાર કરવા અને સમસ્યાઓને ઠીક કરવાને બદલે, Celebrite એ એક નિવેદન બહાર પાડ્યું છે કે તે વપરાશકર્તાના ડેટાની અખંડિતતાની કાળજી રાખે છે, તેના ઉત્પાદનોની સુરક્ષાને યોગ્ય સ્તરે જાળવી રાખે છે, નિયમિત અપડેટ્સ રિલીઝ કરે છે અને તેના પ્રકારની શ્રેષ્ઠ એપ્લિકેશનો પહોંચાડે છે.

• સૌથી મોટી સિદ્ધિ. સુરક્ષા સંશોધકો માટે સાધનોના વિકાસમાં તેમના યોગદાન અને ઉત્પાદનને 30 વર્ષ સુધી અદ્યતન રાખવાની તેમની ક્ષમતા માટે IDA ડિસએસેમ્બલર અને હેક્સ-રેઝ ડીકોમ્પાઇલરના લેખક ઇલ્ફાક ગિલફાનોવને એવોર્ડ આપવામાં આવ્યો હતો.

સોર્સ: opennet.ru