Na nedavno održanoj konferenciji Black Hat USA u Las Vegasu ceremonija dodele nagrada , u okviru koje su istaknute najznačajnije ranjivosti i apsurdni neuspesi u oblasti računalne sigurnosti. Pwnie Awards se smatra ekvivalentom Oscara i Zlatne maline u oblasti računalne sigurnosti i održava se svake godine od 2007. godine.
Glavne i :
- Najbolja serverska greška. Dodeljuje se za otkrivanje i eksploataciju najteže tehnički izazovne i zanimljive greške u mrežnoj usluzi. Pobednici su istraživači koji su ranjivost kod VPN provajdera Pulse Secure, čiji se VPN servis koristi u Twitteru, Uberu, Microsoftu, sla, SpaceX-u, Akamaiu, Intelu, IBM-u, VMware-u, Vojnim snagama SAD-a, Ministarstvu nacionalne sigurnosti (MNS) SAD-a i verovatno u polovini kompanija sa liste Fortune 500. Istraživači su pronašli bauk koji omogućava neautentifikovanom napadaču da promeni lozinku bilo kojeg korisnika. Demonstrirana je mogućnost eksploatacije problema za dobijanje root pristupa VPN serveru na kojem je otvoren samo port HTTPS;
Od nepobedničkih kandidata može se istaknuti:
- Ranjivost koja se može iskoristiti pre nego što se prođe autentifikacija u sistemu kontinuirane integracije Jenkins, koja omogućava izvršavanje koda na serveru. Ranjivost se aktivno koristi od strane botova za organizovanje rudarenja kriptovaluta na serverima;
- Kritična u poštanskom serveru Exim, koja omogućava izvršavanje koda na serveru sa pravima root;
- u IP kamerama Xiongmai XMeye P2P, koja omogućava preuzimanje kontrole nad uređajem. Kamere su isporučene sa inženjerskom lozinkom i nisu koristile digitalni potpis tokom ažuriranja firmvera;
- Kritična u implementaciji RDP protokola u Windowsu, koja omogućava daljinsko izvršavanje vlastitog koda;
- u WordPress-u, povezana sa otpremanjem PHP koda pod krinkom slike. Problem omogućava izvršavanje proizvoljnog koda na serveru, sa privilegijama autora sadržaja (Author) na sajtu;
- Najbolja greška u klijentskom softveru. Pobednik je lako iskoristiva u sistemu grupnih poziva Apple FaceTime, koja omogućava inicijatoru grupnog poziva da natera prihvatanje poziva na strani pozvanog korisnika (na primer, za prisluškivanje i špijuniranje).
Na nagradu su takođe kandidovali:
- u WhatsAppu, koja omogućava izvršavanje vlastitog koda putem slanja posebno oblikovanog glasovnog poziva;
- u grafičkoj biblioteci Skia, koja se koristi u pregledniku Chrome, što može dovesti do oštećenja memorije zbog greške u operacijama s pl floating-point tijekom nekih geometrijskih transformacija;
- Najbolja ranjivost koja dovodi do povećanja privilegija. Nagrada je dodijeljena za otkrivanje u iOS jezgru, koju je moguće iskoristiti putem ipc_vouchera, dostupnog za pristup preko preglednika Safari.
Na nagradu su takođe kandidovali:
- u Windowsu, koja omogućava potpuno preuzimanje kontrole nad sustavom putem manipulacija funkcijom CreateWindowEx (win32k.sys). Problem je otkriven tijekom analize zlonamjernog softvera koji je iskorištavao ranjivost prije njenog ispravljanja;
- u runc i LXC, koja utječe na Docker i druge sisteme kontejnerske izolacije, omogućavajući zlonamjerniku u izoliranom kontejneru da izmijeni izvršnu datoteku runc i dobije root privilegije na strani host sustava;
- u iOS (CFPrefsDaemon), koja omogućava zaobilaženje režima izolacije i izvršavanje koda s root pravima;
- u reviziji TCP staka Linuxa, koji se koristi u Androidu, omogućavajući lokalnom korisniku da povećaje svoje privilegije na uređaju;
- u systemd-journald, koja omogućava dobivanje root prava;
- u alatu tmpreaper za čišćenje /tmp, koja omogućava zadržavanje vlastite datoteke bilo gdje na datotečnom sustavu;
- Najbolji kriptografski napad. Nagrada se dodjeljuje za otkrivanje najznačajnijih propusta u stvarnim sistemima, protokolima i algoritmima šifriranja. Nagrada je dodijeljena za otkrivanje u tehnologiji zaštite bežičnih mreža WPA3 i u EAP-pwd, koja omogućava rekonstrukciju lozinke za povezivanje i pristup bežičnoj mreži bez poznavanja lozinke.
Kandidati za dodjelu nagrade također su bili:
- napadi na PGP i S/MIME šifriranje u klijentima e-pošte;
- metoda hladnog ponovnog pokretanja za pristup sadržaju šifriranih particija Bitlockera;
- u OpenSSL, koja omogućava razdvajanje situacija dobijanja neispravnog dodanog punjenja i neispravnog MAC-a. Problem je uzrokovan neispravnim rukovanjem nul-lim bajtovima u dodanom punjenju (padding oracle);
- s kartama za identifikaciju koje se primjenjuju u Njemačkoj, koristeći SAML;
- s entropijom nasumičnih brojeva u implementaciji podrške za U2F tokene u ChromeOS-u;
- u Monocypheru, zbog koje su nulte EdDSA potpise proglašene ispravnim.
- Najinovativnije istraživanje. Nagradu je dobio developer tehnologije , koja koristi vektorske instrukcije AVX-512 za emulaciju izvršavanja programa, omogućujući značajno povećanje brzine fuzzing testiranja (do 40-120 milijardi instrukcija u sekundi). Tehnika omogućava paralelno izvođenje 8 64-bitnih ili 16 32-bitnih virtualnih mašina na svakom CPU jezgru s instrukcijama za fuzzing testiranje aplikacija.
Za nagradu su se kandidirali:
- tehnologija Power Query iz MS Excela, koja omogućuje izvršavanje koda i zaobilaženje metoda izolacije aplikacija prilikom otvaranja posebno oblikovanih elektronskih tabela;
- prevara autopilota automobila Tesla kako bi se izazvao izlazak na suprotnu traku saobraćaja;
- inženjering ASICS čipa Siemens S7-1200;
- — tehnika praćenja pokreta prstiju za otkrivanje koda za otključavanje telefona, zasnovana na principu rada sonara — gornji i donji zvučnici pametnog telefona generiraju neslušne vibracije, dok ugrađeni mikrofoni hvataju te vibracije za analizu prisutnosti odraženih vibracija od ruke;
- u NSA alatima za inženjering Ghidra;
- — tehnika određivanja korištenja koda istih funkcija u više izvršnih datoteka na osnovu analize binarnih kompilacija;
- metoda zaobilaska mehanizma Intel Boot Guard kako bi se učitale modificirane UEFI firmware bez provjere digitalnim potpisom.
- Najgluplja reakcija dobavljača (Lamest Vendor Response). Nominacija za najneadekvatniju reakciju na izvještaj o ranjivosti u vlastitom proizvodu. Pobjednici su developeri kripto-novčanika BitFi, koji su vikali o super sigurnosti svog proizvoda, koja se zapravo pokazala iluzornom, te su progonili istraživače koji su otkrili ranjivosti, a nisu isplatili obećane nagrade za otkrivene probleme;
Među kandidatima za nagradu razmatrane su i:
- Istraživač sigurnosti je optužio direktora Atrienta za napad kako bi ga natjerao da ukloni izvještaj o ranjivosti koju je otkrio, ali direktor negira incident, a nadzorne kamere nisu snimile taj napad;
- Kompanija Zoom je odlagala ispravku kritične u svom sustavu konferencijskog poziva i ispravila problem tek nakon javnog otkrivanja. Ranljivost je omogućila vanjskom napadaču pristup podacima s web kamera korisnika macOS-a otvaranjem posebne, oblikovane stranice u pregledniku (zoom je na strani klijenta pokretao HTTP poslužitelj koji je primao naredbe od lokalne aplikacije).
- Nesposobnost da se ispravi više od 10 godina s poslužiteljima kriptografskih ključeva OpenPGP, opravdavajući to time da je kod napisan na specifičnom jeziku OCaml i bez pratnje.
Najviše napuhana vijest o ranjivosti. Dodjeljuje se za najdramatičnije i najopširnije osvjetljavanje problema na internetu i u medijima, posebno ako se na kraju ispostavi da ranjivost nije iskoristiva u praksi. Nagradu je dobio Bloomberg za otkrivanje špijunskih čipova u Super Micro pločama, što nije potvrđeno, a izvor je naveo potpuno .
U nominaciji su spomenuti:
- Ranjivost u libssh koja jednostavne poslužiteljske aplikacije (libssh se gotovo i ne koristi za poslužitelje), ali je predstavljena od strane NCC Group kao ranjivost koja omogućuje napad na bilo koji OpenSSH poslužitelj.
- Napad korištenjem slika u DICOM formatu. Suština je u tome da se može pripremiti izvršna datoteka za Windows koja će izgledati kao valjana slika u DICOM formatu. Ova datoteka se može učitati na medicinski uređaj i izvršiti.
- Ranjivost , što omogućava zaobilaženje mehanizma sigurnog pokretanja na Cisco uređajima. Ranjivost je svrstana u kategoriju napuhnanih problema jer zahtijeva root privilegije za napad, ali ako je napadač već uspio dobiti root pristup, o kakvoj se sigurnosti može razgovarati. Ranjivost je istovremeno pobijedila u kategoriji najpodcijenjenijih problema, jer omogućava uvođenje stalnog baga u Flash;
- Najveći neuspjeh (Most Epic FAIL). Nagrada je dodijeljena Bloombergu za niz senzacionalnih članka s uzbudljivim naslovima, ali izmišljenim činjenicama, prešućivanjem izvora, skretanjem u teoriju zavjere, upotrebom takvih termina kao što su „cyber weapon“, i nedopustivim generalizacijama. Među ostalim nominiranim:
- Napad Shadowhammer na uslugu ažuriranja firmvera Asusa;
- Hakerski napad na BitFi skladište, reklamirano kao „neprobojan“;
- Curanje osobnih podataka i pristup na Facebook.
Izvor: opennet.ru
