A Las Vegasban megrendezett Black Hat USA konferencián a díjátadó ceremóniát , amely keretein belül a legjelentősebb sebezhetőségeket és abszurd biztonsági kudarcokat díjazták. A Pwnie Awards a számítástechnikai biztonság Oscarjához és Arany Málnájához hasonlítható, és évente megrendezésre kerül, 2007 óta.
Fő és :
- Legjobb szerverhiba. Ezt a hálózati szolgáltatásban felfedezett és kihasznált technikailag legbonyolultabb és legérdekesebb hibáért ítélik oda. A győztesek azok a kutatók, a Pulse Secure VPN-szolgáltató sebezhetőségét, amelyet a Twitter, az Uber, a Microsoft, a Slack, a SpaceX, az Akamai, az Intel, az IBM, a VMware, az Egyesült Államok Haditengerészete, az Egyesült Államok Belbiztonsági Minisztériuma (DHS) és valószínűleg a Fortune 500 cégek felének használnak. A kutatók egy hátsó ajtót találtak, amely lehetővé tette a nem hitelesített támadó számára, hogy megváltoztassa bármely felhasználó jelszavát. Bemutatták a probléma kihasználását a VPN-szerverhez való root-hozzáférés megszerzésére, ahol csak a HTTPS port van nyitva;
A díjat el nem nyert jelöltek közül kiemelhetőek:
- A Jenkins folyamatos integrációs rendszerénél hitelesítési folyamat előtt kihasználható sebezhetőség, amely lehetővé teszi, hogy kódot futtassanak a szerveren. A sebezhetőséget aktívan használják botok a kriptovaluta bányászatára a szervereken; Kritikus
- az Exim levelezőszerverben, amely lehetővé teszi kód futtatását root jogkörrel a szerveren; Xiongmai XMeye P2P IP kamerákban, amelyek lehetővé teszik az eszköz irányításának megszerzését. A kamerák gyári jelszóval érkeztek, és nem alkalmaztak hitelesítést a firmware frissítésekor;
- az RDP protokoll megvalósításában Windows alatt, amely lehetővé teszi távoli kód végrehajtását;
- az Exim levelezőszerverben, amely lehetővé teszi kód futtatását root jogkörrel a szerveren; WordPressben, amely a PHP kód kép formájában való feltöltésével kapcsolatos. A probléma lehetővé teszi tetszőleges kód végrehajtását a szerveren, ha a közzététel jogkörével (Author) rendelkezi a felhasználó;
- Legjobb klienoldali hiba
- . A győztes egy könnyen kihasználható sebezhetőség,az Apple FaceTime csoportos hívás rendszerében, amely lehetővé teszi a csoportos hívás indítójának, hogy kényszerítse a hívott fél telefonjának felvételét (például hallgatás vagy megfigyelés céljából). Apple FaceTime csoportos hívásrendszerében, amely lehetővé teszi a csoportos hívás kezdeményezője számára, hogy kényszerítse a hívott fél oldalán bejövő hívás fogadását (például lehallgatásra és kukkolásra).
A díjra szintén pályázók voltak:
- a WhatsApp-ban, amely lehetővé teszi kódunk végrehajtását egy különlegesen formázott hanghívás küldésével;
- a Chrome böngészőben használt Skia grafikai könyvtárban, amely memória sérülését okozhatja, mivel lebegőpontos számítási hibák fordulhatnak elő bizonyos geometriai transzformációk során;
- A legjobb magas privilégiumú sebezhetőség. A győzelmet az alábbiak felfedezéséért ítélték oda az iOS kernelében, amely iptvoucher-en keresztül kihasználható, és a Safari böngészőn keresztül érhető el.
A díjra szintén pályázók voltak:
- a Windows rendszerben, amely lehetővé teszi a rendszer teljes irányítását a CreateWindowEx (win32k.sys) funkció manipulálásán keresztül. A problémát egy rosszindulatú kód elemzése során tárták fel, amely a sebezhetőséget a javítása előtt kihasználta;
- a runc és az LXC rendszerében, amely a Dockert és más konténerizációs rendszereket érint, lehetővé téve a támadó által irányított elkülönített konténerből a runc végrehajtható fájl módosítását, és így root privilégiumok megszerzését a gazda rendszeren;
- az iOS-ben (CFPrefsDaemon), amely lehetővé teszi az elszigetelési módok megkerülését és a kód root jogokkal való végrehajtását;
- a Linux TCP-stackjében, amely az Androidban használt, lehetővé teszi, hogy a helyi felhasználó megemelje a privilégiumait a készüléken;
- a systemd-journald-ban, amely lehetővé teszi a root jogok megszerzését;
- a tmpreaper eszközben a /tmp tisztításához, amely lehetővé teszi, hogy a fájlt a fájlrendszer bármely részén megőrizzük;
- A legjobb kriptográfiai támadás. Azokat a legfontosabb sebezhetőségeket jutalmazzák, amelyek a valós rendszerek, protokollok és titkosítási algoritmusok felfedezéséhez vezetnek. A díjat az alábbiak felfedezéséért ítélték oda a WPA3 vezeték nélküli hálózatok védelmi technológiájában és az EAP-pwd-ben, amelyek lehetővé teszik a csatlakozási jelszó rekonstruálását és a vezeték nélküli hálózathoz való hozzáférést anélkül, hogy ismert lenne a jelszó.
A díjra pályázók közé tartozott:
- PGP és S/MIME titkosítási támadások levelezőklienseken;
- hideg újraindítási módszer a Bitlocker titkosított partícióinak tartalmához való hozzáféréshez;
- az OpenSSL-ben, amely lehetővé teszi a hibás töltelék és hibás MAC megszerzésének helyzetek elválasztását. A probléma a nullás bájtok helytelen kezeléséből ered a töltelékben (padding oracle);
- a Németországban használt azonosító kártyákkal, amelyek SAML-t használják;
- a véletlenszámok entropiájára a ChromeOS U2F token támogatásának megvalósítása során;
- a Monocypher, amely miatt az EdDSA nullás aláírásait elfogadhatónak tartották.
- A leginnovatívabb kutatás. A díjat a technika fejlesztője kapta , amely az AVX-512 vektore instrukciókat használja a programok futásának emulálására, és jelentős sebességnövekedést lehetővé téve a fuzzing tesztelés során (40-120 milliárd utasítás másodpercenként). A technika minden CPU magon párhuzamosan hajthat végre 8 db 64 bites vagy 16 db 32 bites virtuális gépet fuzzing tesztelési utasításokkal.
A díjra jelöltek voltak:
- a Power Query technológiával az MS Excelben, amely lehetővé teszi a kód végrehajtását és a speciális formázású táblázatok megnyitásakor az alkalmazásizolációs módszerek kikerülését;
- a Tesla autók automatikus pilótájának kijátszása, hogy a szembejövő sávra hajtsanak;
- a Siemens S7-1200 ASICS chipjének visszafejtésével;
- — egy mozdulatok követésére szolgáló technika, amely a telefon feloldó kódjának meghatározására irányul, a szonárok működési elvére alapozva — a telefon felső és alsó hangszórói nem hallható rezgéseket generálnak, amelyeket a beépített mikrofonsorozat észlel, a kézreflexiók elemzése érdekében;
- az NSA Ghidra visszafejtő eszközével;
- — a bináris összesítések elemzése alapján az azonos funkciók kódjának több végrehajtható fájlban való használatának meghatározására szolgáló technika;
- az Intel Boot Guard mechanizmusának megkerülésére az aláírás ellenőrzése nélküli módosított UEFI firmware-ek betöltésére.
- A legrosszabb válasz a gyártótól (Lamest Vendor Response). Nomináció a legkevésbé megfelelő reakcióért a saját termékben észlelt sebezhetőségre. A győztes a BitFi kriptovaluta pénztárca fejlesztői, akik a termékük rendkívüli biztonságáról kiabálnak, ami valójában illuzórikusnak bizonyult, és zaklatják a sebezhetőségeket felfedő kutatókat, miközben nem fizetik ki a felfedezésért ígért díjakat.
A díjra jelöltek között szintén szerepeltek:
- A biztonsági kutató azzal vádolta az Atrient igazgatóját, hogy az általa észlelt sebezhetőség jelentésének eltüntetésére kényszerítette, de az igazgató tagadja az incidens megtörténtét, és a megfigyelő kamerák nem rögzítették az támadást;
- A Zoom társaság késlekedett a kritikus hiba javításával A konferencia-rendszerében a problémát csak nyilvános fény derülése után javították. A sebezhetőség lehetővé tette, hogy egy külső támadó adatokat szerezzen a macOS felhasználók webkameráiból, amikor speciálisan kialakított oldalt nyitottak meg a böngészőben (a Zoom kliens oldalon egy HTTP szervert indított, amely parancsokat fogadott a helyi alkalmazástól).
- Több mint 10 éve képtelenek voltak javítani az OpenPGP titkosító kulcsgenerátor szervereihez, arra hivatkozva, hogy a kód egy specifikus OCaml nyelven van megírva, és nincs hozzá támogatás.
A legfennhéjázóbb sebezhetőségről szóló bejelentés. A legfennhéjázóbb és legkiterjedtebb probléma internetes és médiabeli bemutatásáért jár, különösen akkor, ha végül a sebezhetőség gyakorlatban nem kihasználható. A díjat a Bloomberg kapta a Super Micro alaplapokban felfedezett kémprogram chipek ügyében, amely nem igazolódott, és a forrás teljesen .
A jelöltek között szerepel:
- A libssh sebezhetősége, amely az egyedi szerveralkalmazásokat (a libssh alig használatos szerverek számára), de az NCC Group úgy mutatta be, mint olyan sebezhetőséget, amely lehetővé teszi bármely OpenSSH szerver megtámadását.
- A DICOM formátumú képek felhasználásával történő támadás lényege, hogy készíthető egy Windows számára futtatható állomány, amely úgy néz ki, mint egy érvényes DICOM képfájl. Ezt az állományt orvosi eszközre lehet feltölteni és végrehajtani.
- Sérülékenység , amely lehetővé teszi a Cisco eszközök biztonságos indítási mechanizmusának megkerülését. A sebezhetőséget felfújt problémaként kategorizálták, mivel a támadáshoz root jogosultságok szükségesek, de ha a támadó már root-hozzáférést szerzett, akkor milyen biztonságról lehet szó. A sebezhetőség egyben a legalacsonyabbra értékelt problémák kategóriáját is megnyerte, mivel lehetővé teszi egy állandó hátsó ajtó beillesztését a Flash-be;
- A legnagyobb kudarc (Most Epic FAIL). A díjat a Bloomberg kapta egy sor szenzációs cikkért, hangzatos címekkel, de kitalált tényekkel, források elhallgatásával, összeesküvés-elméletekbe való visszakúszással, kifejezések, mint például "kiberfegyver", és elfogadhatatlan általánosítások használatával. A többi jelölt között:
- A Shadowhammer támadás az Asus firmware frissítési szolgáltatás ellen;
- A BitFi tároló feltörése, amelyet "feltörhetetlen"-ként reklámoztak;
- Személyes adatok kiszivárgása és hozzáférés a Facebookhoz.
Forrás: opennet.ru
