פרסי Pwnie 2019: פרצות אבטחה וכשלים משמעותיים ביותר

בכנס Black Hat USA בלאס וגאס התקיים טקס פרסים פרסי Pwnie 2019, המדגיש את הפגיעויות והכשלים המופרכים ביותר בתחום אבטחת המחשבים. פרסי Pwnie נחשבים למקבילה של פרסי האוסקר ופטל הזהב בתחום אבטחת המחשב ומתקיימים מדי שנה מאז 2007.

העיקרי זוכים и מועמדויות:

• באג השרת הטוב ביותר. הוענק על זיהוי וניצול הבאג המורכב והמעניין ביותר מבחינה טכנית בשירות רשת. הזוכים היו החוקרים גילה פגיעות אצל ספקית ה-VPN Pulse Secure, ששירות ה-VPN שלה נמצא בשימוש על ידי טוויטר, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, הצי האמריקני, משרד הביטחון האמריקאי לביטחון פנים (DHS) וככל הנראה מחצית חברות מרשימת Fortune 500. חוקרים מצאו דלת אחורית המאפשרת לתוקף לא מאומת לשנות את הסיסמה של כל משתמש. הוכחה האפשרות לנצל את הבעיה כדי לקבל גישת שורש לשרת VPN שרק יציאת ה-HTTPS פתוחה בו;

  בין המועמדים שלא קיבלו את הפרס ניתן לציין את הדברים הבאים:

  • מופעל בשלב הטרום אימות פגיעות במערכת האינטגרציה הרציפה של Jenkins, המאפשרת לבצע קוד על השרת. הפגיעות משמשת באופן פעיל על ידי בוטים לארגון כריית מטבעות קריפטוגרפיים בשרתים;
  • קריטי פגיעות בשרת הדואר של Exim, המאפשר להפעיל קוד בשרת עם זכויות שורש;
  • פגיעויות במצלמות IP של Xiongmai XMeye P2P, המאפשרות לך להשתלט על המכשיר. המצלמות סופקו עם סיסמה הנדסית ולא השתמשו באימות חתימה דיגיטלית בעת עדכון הקושחה;
  • קריטי פגיעות ביישום פרוטוקול RDP ב-Windows, המאפשר לך לבצע מרחוק את הקוד שלך;
  • פגיעות בוורדפרס, הקשור לטעינת קוד PHP במסווה של תמונה. הבעיה מאפשרת לך לבצע קוד שרירותי בשרת, עם הרשאות של מחבר הפרסומים (המחבר) באתר;
• באג תוכנת הלקוח הטוב ביותר. המנצח היה הקל לשימוש פגיעות במערכת השיחות הקבוצתיות של Apple FaceTime, מה שמאפשר ליוזם שיחה קבוצתית לאלץ את השיחה להתקבל על ידי הצד המותקשר (לדוגמה, להאזנה ולחטטנות).

  כמו כן היו מועמדים לפרס:

  • פגיעות בוואטסאפ, המאפשרת לך לבצע את הקוד שלך על ידי שליחת שיחה קולית שתוכננה במיוחד;
  • פגיעות בספריית הגרפיקה Skia המשמשת בדפדפן Chrome, מה שעלול להוביל לפגיעה בזיכרון עקב שגיאות נקודה צפה בכמה טרנספורמציות גיאומטריות;
• פגיעות ההעלאה הטובה ביותר. הניצחון הוענק על זיהוי פגיעות בליבת iOS, אותה ניתן לנצל באמצעות ipc_voucher, הנגישה דרך דפדפן Safari.

  כמו כן היו מועמדים לפרס:

  • פגיעות ב-Windows, המאפשר לך להשיג שליטה מלאה על המערכת באמצעות מניפולציות עם הפונקציה CreateWindowEx (win32k.sys). הבעיה זוהתה במהלך ניתוח תוכנות זדוניות שניצלו את הפגיעות לפני שהיא תוקנה;
  • פגיעות ב-runc וב-LXC, המשפיעים על Docker ומערכות בידוד קונטיינר אחרות, מה שמאפשר לקונטיינר מבודד שנשלט על ידי תוקף לשנות את קובץ ההפעלה runc ולהשיג הרשאות שורש בצד המערכת המארחת;
  • פגיעות ב-iOS (CFPrefsDaemon), המאפשר לך לעקוף מצבי בידוד ולהפעיל קוד עם זכויות שורש;
  • פגיעות במהדורת ערימת Linux TCP המשמשת באנדרואיד, המאפשרת למשתמש מקומי להעלות את ההרשאות שלו במכשיר;
  • פגיעויות ב-systemd-journald, המאפשר לך לקבל זכויות שורש;
  • פגיעות בכלי השירות tmpreaper לניקוי /tmp, המאפשר לך לשמור את הקובץ שלך בכל חלק של מערכת הקבצים;
• ההתקפה הקריפטוגרפית הטובה ביותר. הוענק על זיהוי הפערים המשמעותיים ביותר במערכות אמיתיות, פרוטוקולים ואלגוריתמי הצפנה. הפרס הוענק על זיהוי פגיעויות בטכנולוגיית אבטחת רשת אלחוטית WPA3 ו-EAP-pwd, המאפשרת ליצור מחדש את סיסמת החיבור ולקבל גישה לרשת האלחוטית מבלי לדעת את הסיסמה.

  מועמדים נוספים לפרס היו:

  • שיטה התקפות על הצפנת PGP ו-S/MIME בלקוחות דוא"ל;
  • בקשה שיטת אתחול קר כדי לקבל גישה לתוכן של מחיצות Bitlocker מוצפנות;
  • פגיעות ב-OpenSSL, המאפשר להפריד בין מצבי קבלת ריפוד שגוי לבין MAC שגוי. הבעיה נגרמת מטיפול לא נכון באפס בתים ב-padding oracle;
  • בעיות עם תעודות זהות המשמשות בגרמניה באמצעות SAML;
  • בעיה עם האנטרופיה של מספרים אקראיים ביישום תמיכה באסימוני U2F ב-ChromeOS;
  • פגיעות ב-Monocypher, בשל כך חתימות EdDSA null זוהו כנכונות.
• המחקר החדשני ביותר אי פעם. הפרס הוענק למפתח הטכנולוגיה אמולציה וקטורית, המשתמשת בהוראות וקטוריות AVX-512 כדי לחקות את הפעלת התוכנית, מה שמאפשר הגדלה משמעותית של מהירות הבדיקה המטושטשת (עד 40-120 מיליארד הוראות בשנייה). הטכניקה מאפשרת לכל ליבת מעבד להריץ 8 מכונות וירטואליות של 64 סיביות או 16 32 סיביות במקביל להוראות לבדיקה מטושטשת של האפליקציה.

  הבאים היו זכאים לפרס:

  • פגיעות בטכנולוגיית Power Query מ-MS Excel, המאפשרת לך לארגן ביצוע קוד ולעקוף שיטות בידוד יישומים בעת פתיחת גיליונות אלקטרוניים מעוצבים במיוחד;
  • שיטה הונה את הטייס האוטומטי של מכוניות טסלה כדי לעורר נסיעה לנתיב המתקרב;
  • לעבוד הנדסה לאחור של שבב ASICS סימנס S7-1200;
  • SonarSnoop - טכניקת מעקב אחר תנועות אצבעות לקביעת קוד הנעילה של הטלפון, בהתבסס על עקרון פעולת הסונאר - הרמקולים העליונים והתחתונים של הטלפון החכם מייצרים רעידות בלתי נשמעות, והמיקרופונים המובנים קולטים אותם כדי לנתח את נוכחותן של רעידות המשתקפות מהמכשיר. יד;
  • פיתוח ערכת הכלים להנדסה לאחור של Ghidra של ה-NSA;
  • בטוח - טכניקה לקביעת השימוש בקוד עבור פונקציות זהות במספר קבצי הפעלה המבוססת על ניתוח של מכלולים בינאריים;
  • יצירה שיטה לעקוף את מנגנון ה-Intel Boot Guard לטעינת קושחת UEFI ששונתה ללא אימות חתימה דיגיטלית.
• התגובה הכי צולעת של ספק (תגובת הספק הכי עלוב). מועמדות לתגובה הכי לא מספקת להודעה על פגיעות במוצר שלך. הזוכים הם מפתחי ארנק הקריפטו של BitFi, שצועקים על רמת האבטחה האולטרה של המוצר שלהם, שבמציאות התברר כדמיוני, מטרידים חוקרים שמזהים נקודות תורפה, ולא משלמים את הבונוסים שהובטחו עבור זיהוי בעיות;

  בין המועמדים לפרס חשבו גם:

  • חוקר אבטחה האשים את מנהל אטריינט בתקיפתו במטרה לאלץ אותו להסיר דיווח על פגיעות שזיהה, אולם המנהל מכחיש את האירוע ומצלמות המעקב לא תיעדו את התקיפה;
  • זום מושהה בתיקון בעיה קריטית פגיעות במערכת הוועידות שלה ותיקן את הבעיה רק ​​לאחר החשיפה לציבור. הפגיעות אפשרה לתוקף חיצוני לקבל נתונים ממצלמות האינטרנט של משתמשי macOS בעת פתיחת דף מעוצב במיוחד בדפדפן (זום השיק שרת http בצד הלקוח שקיבל פקודות מהאפליקציה המקומית).
  • אי תיקון במשך יותר מ-10 שנים בעיה עם שרתי מפתח קריפטוגרפיים של OpenPGP, תוך ציון העובדה שהקוד כתוב בשפת OCaml ספציפית ונשאר ללא מתחזק.

  הודעת הפגיעות הכי מטורפת עד כה. מוענק על הסיקור הפתטי והרחב ביותר של הבעיה באינטרנט ובתקשורת, במיוחד אם הפגיעות מתבררת בסופו של דבר כבלתי ניתנת לניצול בפועל. הפרס הוענק לבלומברג עבור הצהרה על זיהוי שבבי ריגול בלוחות סופר מיקרו, שלא אושר, והמקור ציין באופן מוחלט מידע אחר.

  מוזכר במועמדות:

  • פגיעות ב-libssh, אשר נגע יישומי שרת בודדים (libssh כמעט ואינו משמש עבור שרתים), אך הוצג על ידי קבוצת NCC כנקודת תורפה המאפשרת תקיפת כל שרת OpenSSH.
  • התקפה באמצעות תמונות DICOM. הנקודה היא שאתה יכול להכין קובץ הפעלה עבור Windows שייראה כמו תמונת DICOM חוקית. ניתן להוריד קובץ זה למכשיר הרפואי ולהפעיל אותו.
  • פגיעות Thrangrycat, המאפשר לך לעקוף את מנגנון האתחול המאובטח במכשירי סיסקו. הפגיעות מסווגת כבעיה מוגזמת מכיוון שהיא דורשת זכויות שורש לתקיפה, אבל אם התוקף כבר הצליח להשיג גישת שורש, אז על איזו אבטחה אנחנו יכולים לדבר. הפגיעות זכתה גם בקטגוריית הבעיות המזלזלות ביותר, מכיוון שהיא מאפשרת לך להכניס דלת אחורית קבועה לפלאש;
• הכישלון הגדול ביותר (הכי אפי FAIL). הניצחון הוענק לבלומברג על סדרת מאמרים סנסציוניים עם כותרות רועשות אך עובדות מומצאות, דיכוי מקורות, ירידה לתיאוריות קונספירציה, שימוש במונחים כמו "נשק סייבר" והכללות לא מקובלות. מועמדים נוספים כוללים:
  • מתקפת Shadowhammer על שירות עדכון הקושחה של Asus;
  • פריצת כספת BitFi המפורסמת כ"בלתי ניתנת לפריצה";
  • הדלפות של נתונים אישיים ו אסימונים גישה לפייסבוק.

מקור: OpenNet.ru