Pwnie अवार्ड्स 2019: सबसे महत्वपूर्ण कमजोरियाँ और सुरक्षा विफलताएँ

लास वेगास में ब्लैक हैट यूएसए सम्मेलन में हुआ पुरस्कार वितरण समारोह प्वनी अवार्ड्स 2019, जो कंप्यूटर सुरक्षा के क्षेत्र में सबसे महत्वपूर्ण कमजोरियों और बेतुकी विफलताओं पर प्रकाश डालता है। Pwnie अवार्ड्स को कंप्यूटर सुरक्षा के क्षेत्र में ऑस्कर और गोल्डन रास्पबेरीज़ के समकक्ष माना जाता है और 2007 से प्रतिवर्ष आयोजित किया जाता है।

मुख्य विजेताओं и नामांकन:

• सर्वोत्तम सर्वर बग. नेटवर्क सेवा में सबसे तकनीकी रूप से जटिल और दिलचस्प बग की पहचान करने और उसका दोहन करने के लिए पुरस्कार दिया गया। विजेता शोधकर्ता थे दिखाया गया वीपीएन प्रदाता पल्स सिक्योर में भेद्यता, जिसकी वीपीएन सेवा का उपयोग ट्विटर, उबर, माइक्रोसॉफ्ट, एसएलए, स्पेसएक्स, अकामाई, इंटेल, आईबीएम, वीएमवेयर, यूएस नेवी, यूएस डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी (डीएचएस) और शायद आधे द्वारा किया जाता है। फॉर्च्यून 500 सूची की कंपनियां। शोधकर्ताओं ने एक पिछला दरवाजा ढूंढ लिया है जो एक अप्रमाणित हमलावर को किसी भी उपयोगकर्ता का पासवर्ड बदलने की अनुमति देता है। किसी वीपीएन सर्वर तक रूट पहुंच प्राप्त करने के लिए समस्या का फायदा उठाने की संभावना प्रदर्शित की गई है, जिस पर केवल HTTPS पोर्ट खुला है;

  जिन उम्मीदवारों को पुरस्कार नहीं मिला, उनमें निम्नलिखित पर ध्यान दिया जा सकता है:

  • पूर्व-प्रमाणीकरण चरण में संचालित भेद्यता जेनकींस सतत एकीकरण प्रणाली में, जो आपको सर्वर पर कोड निष्पादित करने की अनुमति देता है। सर्वर पर क्रिप्टोकरेंसी खनन को व्यवस्थित करने के लिए बॉट्स द्वारा भेद्यता का सक्रिय रूप से उपयोग किया जाता है;
  • गंभीर भेद्यता एक्ज़िम मेल सर्वर में, जो आपको रूट अधिकारों के साथ सर्वर पर कोड निष्पादित करने की अनुमति देता है;
  • कमजोरियों Xiongmai XMeye P2P IP कैमरों में, आपको डिवाइस का नियंत्रण लेने की अनुमति मिलती है। कैमरों को एक इंजीनियरिंग पासवर्ड के साथ आपूर्ति की गई थी और फ़र्मवेयर को अपडेट करते समय डिजिटल हस्ताक्षर सत्यापन का उपयोग नहीं किया गया था;
  • गंभीर भेद्यता विंडोज़ में आरडीपी प्रोटोकॉल के कार्यान्वयन में, जो आपको अपने कोड को दूरस्थ रूप से निष्पादित करने की अनुमति देता है;
  • भेद्यता वर्डप्रेस में, एक छवि की आड़ में PHP कोड लोड करने से जुड़ा हुआ है। समस्या आपको साइट पर प्रकाशनों के लेखक (लेखक) के विशेषाधिकार प्राप्त करते हुए, सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है;
• सर्वोत्तम क्लाइंट सॉफ़्टवेयर बग. उपयोग में आसान विजेता रहा भेद्यता ऐप्पल फेसटाइम ग्रुप कॉलिंग सिस्टम में, ग्रुप कॉल के आरंभकर्ता को कॉल को कॉल करने वाली पार्टी द्वारा स्वीकार करने के लिए बाध्य करने की अनुमति मिलती है (उदाहरण के लिए, सुनने और ताक-झांक के लिए)।

  पुरस्कार के लिए ये भी नामांकित थे:

  • भेद्यता व्हाट्सएप में, जो आपको विशेष रूप से डिज़ाइन की गई वॉयस कॉल भेजकर अपना कोड निष्पादित करने की अनुमति देता है;
  • भेद्यता क्रोम ब्राउज़र में उपयोग की जाने वाली स्किया ग्राफ़िक्स लाइब्रेरी में, जो कुछ ज्यामितीय परिवर्तनों में फ़्लोटिंग पॉइंट त्रुटियों के कारण मेमोरी भ्रष्टाचार का कारण बन सकता है;
• विशेषाधिकार भेद्यता का सर्वोत्तम उन्नयन. पहचानने के लिए विजय प्रदान की गई कमजोरियों iOS कर्नेल में, जिसका उपयोग ipc_voucher के माध्यम से किया जा सकता है, जिसे Safari ब्राउज़र के माध्यम से एक्सेस किया जा सकता है।

  पुरस्कार के लिए ये भी नामांकित थे:

  • भेद्यता विंडोज़ में, आपको CreateWindowEx (win32k.sys) फ़ंक्शन के साथ हेरफेर के माध्यम से सिस्टम पर पूर्ण नियंत्रण प्राप्त करने की अनुमति मिलती है। समस्या की पहचान मैलवेयर के विश्लेषण के दौरान की गई थी जिसने भेद्यता को ठीक करने से पहले उसका फायदा उठाया था;
  • भेद्यता रनसी और एलएक्ससी में, डॉकर और अन्य कंटेनर आइसोलेशन सिस्टम को प्रभावित करते हुए, एक हमलावर द्वारा नियंत्रित एक पृथक कंटेनर को रनसी निष्पादन योग्य फ़ाइल को बदलने और होस्ट सिस्टम पक्ष पर रूट विशेषाधिकार प्राप्त करने की अनुमति देता है;
  • भेद्यता iOS (CFPrefsDaemon) में, जो आपको आइसोलेशन मोड को बायपास करने और रूट अधिकारों के साथ कोड निष्पादित करने की अनुमति देता है;
  • भेद्यता एंड्रॉइड में उपयोग किए जाने वाले लिनक्स टीसीपी स्टैक के संस्करण में, स्थानीय उपयोगकर्ता को डिवाइस पर अपने विशेषाधिकार बढ़ाने की अनुमति मिलती है;
  • कमजोरियों सिस्टमड-जर्नल में, जो आपको रूट अधिकार प्राप्त करने की अनुमति देता है;
  • भेद्यता /tmp की सफाई के लिए tmpreaper उपयोगिता में, जो आपको फ़ाइल सिस्टम के किसी भी भाग में अपनी फ़ाइल को सहेजने की अनुमति देता है;
• सर्वश्रेष्ठ क्रिप्टोग्राफ़िक हमला. वास्तविक सिस्टम, प्रोटोकॉल और एन्क्रिप्शन एल्गोरिदम में सबसे महत्वपूर्ण अंतराल की पहचान करने के लिए पुरस्कार दिया गया। पहचान करने पर पुरस्कार दिया गया कमजोरियों WPA3 वायरलेस नेटवर्क सुरक्षा तकनीक और EAP-pwd में, जो आपको कनेक्शन पासवर्ड को फिर से बनाने और पासवर्ड जाने बिना वायरलेस नेटवर्क तक पहुंच प्राप्त करने की अनुमति देता है।

  पुरस्कार के लिए अन्य उम्मीदवार थे:

  • विधि ईमेल क्लाइंट में PGP और S/MIME एन्क्रिप्शन पर हमले;
  • आवेदन एन्क्रिप्टेड बिटलॉकर विभाजन की सामग्री तक पहुंच प्राप्त करने के लिए कोल्ड बूट विधि;
  • भेद्यता ओपनएसएसएल में, जो आपको गलत पैडिंग और गलत मैक प्राप्त करने की स्थितियों को अलग करने की अनुमति देता है। समस्या पैडिंग ऑरेकल में शून्य बाइट्स की गलत हैंडलिंग के कारण होती है;
  • समस्याओं SAML का उपयोग करके जर्मनी में उपयोग किए जाने वाले आईडी कार्ड के साथ;
  • समस्या ChromeOS में U2F टोकन के लिए समर्थन के कार्यान्वयन में यादृच्छिक संख्याओं की एन्ट्रापी के साथ;
  • भेद्यता मोनोसिफर में, जिसके कारण शून्य एडडीएसए हस्ताक्षरों को सही माना गया।
• अब तक का सबसे नवीन शोध। यह पुरस्कार प्रौद्योगिकी के विकासकर्ता को प्रदान किया गया वेक्टरकृत अनुकरण, जो प्रोग्राम निष्पादन का अनुकरण करने के लिए AVX-512 वेक्टर निर्देशों का उपयोग करता है, जिससे फ़ज़िंग परीक्षण गति (प्रति सेकंड 40-120 बिलियन निर्देश तक) में उल्लेखनीय वृद्धि होती है। तकनीक प्रत्येक सीपीयू कोर को एप्लिकेशन के फ़ज़िंग परीक्षण के निर्देशों के समानांतर 8 64-बिट या 16 32-बिट वर्चुअल मशीन चलाने की अनुमति देती है।

  निम्नलिखित पुरस्कार के लिए पात्र थे:

  • भेद्यता एमएस एक्सेल से पावर क्वेरी तकनीक में, जो आपको विशेष रूप से डिज़ाइन की गई स्प्रेडशीट खोलते समय कोड निष्पादन को व्यवस्थित करने और एप्लिकेशन अलगाव विधियों को बायपास करने की अनुमति देता है;
  • विधि आने वाली लेन में गाड़ी चलाने के लिए उकसाने के लिए टेस्ला कारों के ऑटोपायलट को धोखा देना;
  • Работа ASICS चिप सीमेंस S7-1200 की रिवर्स इंजीनियरिंग;
  • सोनारस्नूप - सोनार ऑपरेशन के सिद्धांत के आधार पर, फोन अनलॉक कोड निर्धारित करने के लिए फिंगर मूवमेंट ट्रैकिंग तकनीक - स्मार्टफोन के ऊपरी और निचले स्पीकर अश्रव्य कंपन उत्पन्न करते हैं, और अंतर्निहित माइक्रोफ़ोन उन्हें प्रतिबिंबित कंपन की उपस्थिति का विश्लेषण करने के लिए उठाते हैं हाथ;
  • डिज़ाइन एनएसए का घिड्रा रिवर्स इंजीनियरिंग टूलकिट;
  • सुरक्षित - बाइनरी असेंबली के विश्लेषण के आधार पर कई निष्पादन योग्य फ़ाइलों में समान कार्यों के लिए कोड के उपयोग को निर्धारित करने की एक तकनीक;
  • सृजन डिजिटल हस्ताक्षर सत्यापन के बिना संशोधित यूईएफआई फर्मवेयर लोड करने के लिए इंटेल बूट गार्ड तंत्र को बायपास करने की एक विधि।
• किसी विक्रेता की ओर से सबसे घटिया प्रतिक्रिया (सबसे खराब विक्रेता प्रतिक्रिया)। आपके अपने उत्पाद में भेद्यता के बारे में किसी संदेश पर सबसे अपर्याप्त प्रतिक्रिया के लिए नामांकन। विजेता BitFi क्रिप्टो वॉलेट के डेवलपर हैं, जो अपने उत्पाद की अति-सुरक्षा के बारे में चिल्लाते हैं, जो वास्तव में काल्पनिक निकला, कमजोरियों की पहचान करने वाले शोधकर्ताओं को परेशान करते हैं, और समस्याओं की पहचान करने के लिए वादा किए गए बोनस का भुगतान नहीं करते हैं;

  पुरस्कार के लिए आवेदकों में इन पर भी विचार किया गया:

  • एक सुरक्षा शोधकर्ता ने एट्रिएंट के निदेशक पर उनके द्वारा पहचानी गई भेद्यता पर एक रिपोर्ट को हटाने के लिए मजबूर करने के लिए उन पर हमला करने का आरोप लगाया, लेकिन निदेशक ने घटना से इनकार किया और निगरानी कैमरों ने हमले को रिकॉर्ड नहीं किया;
  • ज़ूम ने गंभीर समस्या को ठीक करने में देरी की कमजोरियों अपने कॉन्फ्रेंसिंग सिस्टम में और सार्वजनिक प्रकटीकरण के बाद ही समस्या को ठीक किया गया। भेद्यता ने बाहरी हमलावर को ब्राउज़र में विशेष रूप से डिज़ाइन किए गए पेज को खोलने पर macOS उपयोगकर्ताओं के वेब कैमरों से डेटा प्राप्त करने की अनुमति दी (ज़ूम ने क्लाइंट साइड पर एक http सर्वर लॉन्च किया जो स्थानीय एप्लिकेशन से कमांड प्राप्त करता था)।
  • 10 वर्षों से अधिक समय से सुधार करने में विफलता समस्या ओपनपीजीपी क्रिप्टोग्राफ़िक कुंजी सर्वर के साथ, इस तथ्य का हवाला देते हुए कि कोड एक विशिष्ट OCaml भाषा में लिखा गया है और बिना अनुरक्षक के रहता है।

  अब तक की सबसे अधिक प्रचारित भेद्यता घोषणा. इंटरनेट और मीडिया पर समस्या के सबसे दयनीय और बड़े पैमाने पर कवरेज के लिए पुरस्कार दिया जाता है, खासकर अगर भेद्यता अंततः व्यवहार में अप्रयुक्त हो जाती है। ब्लूमबर्ग को यह पुरस्कार दिया गया आवेदन सुपर माइक्रो बोर्डों में जासूसी चिप्स की पहचान के बारे में, जिसकी पुष्टि नहीं की गई थी, और स्रोत ने बिल्कुल संकेत दिया था अन्य सूचना.

  नामांकन में उल्लेखित:

  • libssh में भेद्यता, जो को छुआ एकल सर्वर अनुप्रयोग (सर्वर के लिए libssh का उपयोग लगभग कभी नहीं किया जाता है), लेकिन एनसीसी समूह द्वारा इसे एक भेद्यता के रूप में प्रस्तुत किया गया था जो किसी भी ओपनएसएसएच सर्वर पर हमला करने की अनुमति देता है।
  • DICOM छवियों का उपयोग करके हमला करें। मुद्दा यह है कि आप विंडोज़ के लिए एक निष्पादन योग्य फ़ाइल तैयार कर सकते हैं जो एक वैध DICOM छवि की तरह दिखेगी। इस फ़ाइल को मेडिकल डिवाइस पर डाउनलोड किया जा सकता है और निष्पादित किया जा सकता है।
  • भेद्यता थ्रैंग्रीकैट, जो आपको सिस्को उपकरणों पर सुरक्षित बूट तंत्र को बायपास करने की अनुमति देता है। भेद्यता को एक अत्यधिक समस्या के रूप में वर्गीकृत किया गया है क्योंकि इस पर हमला करने के लिए रूट अधिकारों की आवश्यकता होती है, लेकिन यदि हमलावर पहले से ही रूट पहुंच प्राप्त करने में सक्षम था, तो हम किस सुरक्षा के बारे में बात कर सकते हैं। भेद्यता ने सबसे कम आंकी गई समस्याओं की श्रेणी में भी जीत हासिल की, क्योंकि यह आपको फ्लैश में एक स्थायी पिछले दरवाजे को पेश करने की अनुमति देता है;
• सबसे बड़ी विफलता (अधिकांश महाकाव्य विफल)। ब्लूमबर्ग को यह जीत सनसनीखेज लेखों की एक श्रृंखला के लिए प्रदान की गई, जिसमें जोर-शोर से सुर्खियां बटोरीं, लेकिन मनगढ़ंत तथ्य, स्रोतों का दमन, साजिश के सिद्धांतों में उतरना, "साइबर हथियार" जैसे शब्दों का उपयोग और अस्वीकार्य सामान्यीकरण शामिल थे। अन्य नामांकित व्यक्तियों में शामिल हैं:
  • आसुस फर्मवेयर अपडेट सेवा पर शैडोहैमर हमला;
  • BitFi वॉल्ट को हैक करने को "अनहैक करने योग्य" के रूप में विज्ञापित किया गया;
  • व्यक्तिगत डेटा का लीक होना और टोकन फेसबुक तक पहुंच.

स्रोत: opennet.ru