Pwnie अवार्ड्स 2021: सबसे महत्वपूर्ण कमजोरियाँ और सुरक्षा विफलताएँ

कंप्यूटर सुरक्षा में सबसे महत्वपूर्ण कमजोरियों और बेतुकी विफलताओं को उजागर करते हुए, वार्षिक Pwnie अवार्ड्स 2021 के विजेताओं की घोषणा की गई है। Pwnie अवार्ड्स को कंप्यूटर सुरक्षा के क्षेत्र में ऑस्कर और गोल्डन रास्पबेरीज़ के समकक्ष माना जाता है।

मुख्य विजेता (दावेदारों की सूची):

• सर्वोत्तम भेद्यता विशेषाधिकार वृद्धि की ओर ले जाती है। सुडो उपयोगिता में भेद्यता CVE-2021-3156 की पहचान करने के लिए क्वालिस को यह जीत प्रदान की गई, जो आपको रूट विशेषाधिकार प्राप्त करने की अनुमति देती है। कोड में भेद्यता लगभग 10 वर्षों तक मौजूद थी और यह उल्लेखनीय है कि इसकी पहचान करने के लिए उपयोगिता के तर्क का गहन विश्लेषण आवश्यक था।
• सर्वोत्तम सर्वर बग. नेटवर्क सेवा में सबसे तकनीकी रूप से जटिल और दिलचस्प बग की पहचान करने और उसका दोहन करने के लिए पुरस्कार दिया गया। यह जीत माइक्रोसॉफ्ट एक्सचेंज पर एक नए आक्रमण वेक्टर की पहचान करने के लिए प्रदान की गई। इस वर्ग की सभी कमजोरियों के बारे में जानकारी प्रकाशित नहीं की गई है, लेकिन भेद्यता CVE-2021-26855 (ProxyLogon) के बारे में जानकारी पहले ही बताई जा चुकी है, जो आपको प्रमाणीकरण के बिना एक मनमाने उपयोगकर्ता का डेटा निकालने की अनुमति देती है, और CVE-2021-27065 , जो प्रशासकीय अधिकारों वाले सर्वर पर आपके कोड को निष्पादित करना संभव बनाता है।
• सबसे अच्छा क्रिप्टोग्राफ़िक हमला। वास्तविक सिस्टम, प्रोटोकॉल और एन्क्रिप्शन एल्गोरिदम में सबसे महत्वपूर्ण अंतराल की पहचान करने के लिए पुरस्कार दिया गया। यह पुरस्कार माइक्रोसॉफ्ट को अण्डाकार वक्रों पर आधारित डिजिटल हस्ताक्षरों के कार्यान्वयन में भेद्यता (सीवीई-2020-0601) के लिए प्रदान किया गया, जो सार्वजनिक कुंजी के आधार पर निजी कुंजी उत्पन्न करने की अनुमति देता है। समस्या ने HTTPS के लिए नकली टीएलएस प्रमाणपत्र और काल्पनिक डिजिटल हस्ताक्षरों के निर्माण की अनुमति दी, जिन्हें विंडोज़ द्वारा भरोसेमंद के रूप में सत्यापित किया गया था।
• अब तक का सबसे नवीन शोध। यह पुरस्कार उन शोधकर्ताओं को प्रदान किया गया जिन्होंने निर्देशों के सट्टा प्रोसेसर निष्पादन के परिणामस्वरूप साइड-चैनल लीक का उपयोग करके एड्रेस-आधारित रैंडमाइजेशन (एएसएलआर) सुरक्षा को बायपास करने के लिए ब्लाइंडसाइड विधि का प्रस्ताव दिया था।
• सबसे बड़ी विफलता (Most Epic FAIL)। यह पुरस्कार माइक्रोसॉफ्ट को विंडोज प्रिंटिंग सिस्टम में प्रिंटनाइटमेयर भेद्यता (सीवीई-2021-34527) के लिए बार-बार टूटे हुए फिक्स को जारी करने के लिए प्रदान किया गया, जिसने कोड निष्पादन की अनुमति दी। माइक्रोसॉफ्ट ने शुरुआत में समस्या को स्थानीय बताया, लेकिन फिर पता चला कि हमला दूर से भी किया जा सकता है। फिर माइक्रोसॉफ्ट ने चार बार अपडेट प्रकाशित किए, लेकिन हर बार फिक्स ने केवल एक विशेष मामले को बंद कर दिया और शोधकर्ताओं ने हमले को अंजाम देने का एक नया तरीका ढूंढ लिया।
• क्लाइंट सॉफ़्टवेयर में सबसे अच्छा बग. विजेता वह शोधकर्ता था जिसने सैमसंग सुरक्षित क्रिप्टो प्रोसेसर में CVE-2020-28341 भेद्यता की पहचान की, जिसे CC EAL 5+ सुरक्षा प्रमाणपत्र प्राप्त हुआ। भेद्यता ने सुरक्षा को पूरी तरह से बायपास करना और एन्क्लेव में संग्रहीत चिप और डेटा पर चल रहे कोड तक पहुंच प्राप्त करना, स्क्रीन सेवर लॉक को बायपास करना और एक छिपे हुए पिछले दरवाजे को बनाने के लिए फर्मवेयर में बदलाव करना भी संभव बना दिया।
• सबसे कम आंकी गई भेद्यता. क्वालिस को यह पुरस्कार एक्ज़िम मेल सर्वर में 21नेल्स कमजोरियों की एक श्रृंखला की पहचान करने के लिए दिया गया था, जिनमें से 10 का दूर से फायदा उठाया जा सकता है। एक्ज़िम डेवलपर्स को संदेह था कि समस्याओं का फायदा उठाया जा सकता है और उन्हें ठीक करने में 6 महीने से अधिक का समय लगा।
• सबसे खराब विक्रेता प्रतिक्रिया. आपके अपने उत्पाद में भेद्यता के बारे में एक संदेश पर सबसे अपर्याप्त प्रतिक्रिया के लिए नामांकन। विजेता सेलेब्राइट थी, एक कंपनी जो कानून प्रवर्तन एजेंसियों द्वारा फोरेंसिक विश्लेषण और डेटा निष्कर्षण के लिए एप्लिकेशन बनाती है। सेलेब्राइट ने सिग्नल प्रोटोकॉल के लेखक मोक्सी मार्लिनस्पाइक द्वारा भेजी गई भेद्यता रिपोर्ट पर पर्याप्त प्रतिक्रिया नहीं दी। एन्क्रिप्टेड सिग्नल संदेशों को हैक करने की अनुमति देने वाली तकनीक के निर्माण के बारे में मीडिया में एक नोट के प्रकाशन के बाद मोक्सी को सेलेब्राइट में दिलचस्पी हो गई, जो बाद में सेलेब्राइट वेबसाइट पर एक लेख में जानकारी की गलत व्याख्या के कारण नकली निकला, जो था फिर हटा दिया गया ("हमले" के लिए फोन तक भौतिक पहुंच और लॉक स्क्रीन को हटाने की क्षमता की आवश्यकता थी, यानी इसे मैसेंजर में संदेशों को देखने के लिए कम कर दिया गया था, लेकिन मैन्युअल रूप से नहीं, बल्कि एक विशेष एप्लिकेशन का उपयोग करके जो उपयोगकर्ता क्रियाओं का अनुकरण करता है)।

  मोक्सी ने सेलेब्राइट अनुप्रयोगों का अध्ययन किया और वहां महत्वपूर्ण कमजोरियां पाईं, जो विशेष रूप से डिज़ाइन किए गए डेटा को स्कैन करने का प्रयास करते समय मनमाने कोड को निष्पादित करने की अनुमति देती थीं। सेलेब्राइट एप्लिकेशन को एक पुरानी ffmpeg लाइब्रेरी का उपयोग करते हुए भी पाया गया था जिसे 9 वर्षों से अपडेट नहीं किया गया था और इसमें बड़ी संख्या में अप्रकाशित कमजोरियां थीं। समस्याओं को स्वीकार करने और समस्याओं को ठीक करने के बजाय, सेलेब्राइट ने एक बयान जारी किया कि वह उपयोगकर्ता डेटा की अखंडता की परवाह करता है, अपने उत्पादों की सुरक्षा को उचित स्तर पर बनाए रखता है, नियमित रूप से अपडेट जारी करता है और अपनी तरह के सर्वोत्तम एप्लिकेशन वितरित करता है।

• सबसे बड़ी उपलब्धि. सुरक्षा शोधकर्ताओं के लिए उपकरणों के विकास में उनके योगदान और 30 वर्षों तक एक अद्यतन उत्पाद को बनाए रखने की उनकी क्षमता के लिए आईडीए डिस्सेबलर और हेक्स-रेज़ डीकंपाइलर के लेखक इलफ़ाक गिलफ़ानोव को यह पुरस्कार प्रदान किया गया।

स्रोत: opennet.ru