जीरोडे क्लाउड प्रतियोगिता में रेडिस, पोस्टग्रेएसक्यूएल, मारियाडीबी और कर्नेल पर 11 सफल हमलों का प्रदर्शन किया गया। Linux

ब्लैक हैट यूरोप सम्मेलन में आयोजित ज़ीरोडे क्लाउड प्रतियोगिता के परिणाम घोषित कर दिए गए हैं। इस प्रतियोगिता का उद्देश्य क्लाउड वातावरण में उपयोग किए जाने वाले ओपन-सोर्स सॉफ़्टवेयर में मौजूद कमियों की पहचान करना था। इस दौरान, रेडिस, पोस्टग्रेएसक्यूएल, मारियाडीबी और कर्नेल में पाई गई 11 पहले से अज्ञात कमियों का प्रदर्शन किया गया। Linux और ग्राफाना। कुल घोषित पुरस्कार राशि 4.5 मिलियन डॉलर में से 320 डॉलर की पुरस्कार राशि प्रदान की गई।

प्रतियोगिता के नियमों के अनुसार, प्रतिभागियों को ऐसे कारगर तरीके प्रदर्शित करने थे जो पहले से अज्ञात ज़ीरो-डे कमजोरियों का फायदा उठा सकें। "वर्चुअलाइज़ेशन" श्रेणी में, ऐसे तरीके होने चाहिए थे जिनसे एक अलग कंटेनर या वर्चुअल मशीन से बाहर निकला जा सके, जबकि अन्य श्रेणियों में, उनसे रिमोट कोड निष्पादन संभव होना चाहिए था। हैक किए गए एप्लिकेशन के कॉन्फ़िगरेशन GitHub पर पोस्ट किए गए थे।

प्रदर्शित हमले:

• रेडिस डेटाबेस पर पांच हमले जिनके परिणामस्वरूप प्रमाणीकरणित पहुंच के दौरान रिमोट कोड निष्पादन हुआ (पांचों हमलों के लिए 30,000 डॉलर का इनाम)।
• PostgreSQL DBMS पर तीन हमले जिनके परिणामस्वरूप प्रमाणीकरणित पहुंच के दौरान रिमोट कोड निष्पादन हुआ (तीनों के लिए 30,000 डॉलर का इनाम)।
• MariaDB पर हुए हमले के परिणामस्वरूप प्रमाणित पहुंच के माध्यम से रिमोट कोड निष्पादन हुआ (तीन 30,000 डॉलर के पुरस्कार)।
• ग्राफाना डेटा विज़ुअलाइज़ेशन प्लेटफ़ॉर्म में इंटरफ़ेस तक प्रमाणित पहुंच के साथ रिमोट कोड निष्पादन (10,000 डॉलर)।
• मूल पर हमला Linuxजिससे पृथक कंटेनर को वहीं छोड़ना संभव हो गया Ubuntu (30,000 डॉलर)।
• vLLM और Ollama पर हमला करने के दो प्रयास असफल रहे, क्योंकि प्रतिभागी निर्धारित समय के भीतर हमले को पूरा करने में विफल रहे।

टीम ज़िंट कोड को रेडिस, पोस्टग्रेएसक्यूएल और मारियाडीबी पर सफलतापूर्वक हमला करने के बाद विजेता घोषित किया गया और उन्होंने 90 डॉलर जीते। गौरतलब है कि टीम ज़िंट कोड द्वारा प्रदर्शित कमजोरियों की पहचान ज़िंट कोड एआई विश्लेषक का उपयोग करके की गई थी।

NGINX हैक के लिए घोषित 300 डॉलर का सबसे बड़ा इनाम किसी ने नहीं जीता, और न ही Apache Tomcat, Redis, PostgreSQL और MariaDB के अनधिकृत हैक के लिए घोषित 100 डॉलर का इनाम जीता। Docker, Containerd, Envoy, Caddy, NVIDIA Container Toolkit, Kubernetes API Server, Kubelet Server, Prometheus, Fluent Bit, Apache Airflow, Jenkins और GitLab CE हैक के लिए भी कोई दावा प्राप्त नहीं हुआ।

सुरक्षा खामियों के स्वरूप के बारे में अभी तक विस्तृत जानकारी उपलब्ध नहीं है। प्रतियोगिता की शर्तों के अनुसार, सभी पहचानी गई खामियों के बारे में विस्तृत जानकारी प्रभावित परियोजनाओं के डेवलपर्स को प्रदान कर दी गई है और विक्रेताओं द्वारा पैच जारी करने के बाद प्रकाशित की जाएगी।

स्रोत: opennet.ru