Pwnie Awards 2019: უსაფრთხოების ყველაზე მნიშვნელოვანი ხარვეზები და წარუმატებლობები

Black Hat USA კონფერენციაზე ლას ვეგასში მოხდა დაჯილდოების ცერემონია Pwnie Awards 2019, რომელიც ხაზს უსვამს ყველაზე მნიშვნელოვან დაუცველობას და აბსურდულ წარუმატებლობას კომპიუტერული უსაფრთხოების სფეროში. Pwnie Awards ითვლება ოსკარისა და ოქროს ჟოლოს ეკვივალენტად კომპიუტერული უსაფრთხოების სფეროში და ყოველწლიურად იმართება 2007 წლიდან.

მთავარი გამარჯვებულები и ნომინაციები:

• საუკეთესო სერვერის შეცდომა. დაჯილდოვებულია ქსელის სერვისში ტექნიკურად ყველაზე რთული და საინტერესო ხარვეზის იდენტიფიკაციისა და გამოყენებისთვის. გამარჯვებულები იყვნენ მკვლევარები გამოავლინა დაუცველობა VPN პროვაიდერში Pulse Secure, რომლის VPN სერვისს იყენებენ Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, აშშ-ს საზღვაო ძალები, აშშ-ს შიდა უსაფრთხოების დეპარტამენტი (DHS) და ალბათ ნახევარი. კომპანიები Fortune 500-ის სიიდან. მკვლევარებმა აღმოაჩინეს უკანა კარი, რომელიც საშუალებას აძლევს არაავთენტიფიცირებულ თავდამსხმელს შეცვალოს ნებისმიერი მომხმარებლის პაროლი. დემონსტრირებულია პრობლემის გამოყენების შესაძლებლობა VPN სერვერზე root წვდომის მოსაპოვებლად, რომელზეც მხოლოდ HTTPS პორტია ღია;

  იმ კანდიდატებს შორის, რომლებმაც პრიზი ვერ მიიღეს, აღსანიშნავია:

  • ფუნქციონირებს წინასწარი ავთენტიფიკაციის ეტაპზე დაუცველობა ჯენკინსის უწყვეტი ინტეგრაციის სისტემაში, რომელიც საშუალებას გაძლევთ შეასრულოთ კოდი სერვერზე. დაუცველობას აქტიურად იყენებენ ბოტები სერვერებზე კრიპტოვალუტის მაინინგის ორგანიზებისთვის;
  • Კრიტიკული დაუცველობა Exim mail სერვერზე, რომელიც საშუალებას გაძლევთ შეასრულოთ კოდი სერვერზე root უფლებებით;
  • მოწყვლადობა Xiongmai XMeye P2P IP კამერებში, რაც საშუალებას გაძლევთ გააკონტროლოთ მოწყობილობა. კამერებს მიეწოდებათ საინჟინრო პაროლი და არ იყენებდნენ ციფრული ხელმოწერის დადასტურებას პროგრამული უზრუნველყოფის განახლებისას;
  • Კრიტიკული დაუცველობა Windows-ში RDP პროტოკოლის განხორციელებისას, რომელიც საშუალებას გაძლევთ დისტანციურად შეასრულოთ თქვენი კოდი;
  • დაუცველობა WordPress-ში, რომელიც დაკავშირებულია სურათის საფარქვეშ PHP კოდის ჩატვირთვასთან. პრობლემა საშუალებას გაძლევთ შეასრულოთ თვითნებური კოდი სერვერზე, რომელსაც აქვს საიტზე პუბლიკაციების ავტორის (ავტორის) პრივილეგიები;
• საუკეთესო კლიენტის პროგრამული ხარვეზი. გამარჯვებული იყო ადვილად გამოსაყენებელი დაუცველობა Apple FaceTime ჯგუფური დარეკვის სისტემაში, რაც საშუალებას აძლევს ჯგუფური ზარის ინიციატორს აიძულოს ზარი მიიღოს დარეკილი მხარის მიერ (მაგალითად, მოსმენისა და სნოუპისთვის).

  პრიზზე ასევე წარდგენილნი იყვნენ:

  • დაუცველობა WhatsApp-ში, რომელიც საშუალებას გაძლევთ შეასრულოთ თქვენი კოდი სპეციალურად შექმნილი ხმოვანი ზარის გაგზავნით;
  • დაუცველობა Chrome ბრაუზერში გამოყენებული Skia გრაფიკული ბიბლიოთეკაში, რამაც შეიძლება გამოიწვიოს მეხსიერების გაფუჭება ზოგიერთ გეომეტრიულ ტრანსფორმაციაში მცურავი წერტილის შეცდომების გამო;
• პრივილეგიის დაუცველობის საუკეთესო ამაღლება. იდენტიფიკაციისთვის მიენიჭა გამარჯვება სისუსტეები iOS-ის ბირთვში, რომლის ექსპლუატაცია შესაძლებელია ipc_voucher-ის საშუალებით, რომელიც ხელმისაწვდომია Safari ბრაუზერის მეშვეობით.

  პრიზზე ასევე წარდგენილნი იყვნენ:

  • დაუცველობა Windows-ში, რაც საშუალებას გაძლევთ მოიპოვოთ სრული კონტროლი სისტემაზე CreateWindowEx (win32k.sys) ფუნქციით მანიპულაციების საშუალებით. პრობლემა გამოვლინდა მავნე პროგრამის ანალიზის დროს, რომელიც გამოიყენებდა დაუცველობას მის გამოსწორებამდე;
  • დაუცველობა runc-ში და LXC-ში, გავლენას ახდენს Docker-ზე და კონტეინერების იზოლაციის სხვა სისტემებზე, რაც საშუალებას აძლევს იზოლირებულ კონტეინერს, რომელსაც აკონტროლებს თავდამსხმელი, შეცვალოს runc შესრულებადი ფაილი და მოიპოვოს root პრივილეგიები მასპინძელი სისტემის მხრიდან;
  • დაუცველობა iOS-ში (CFPrefsDaemon), რომელიც საშუალებას გაძლევთ გვერდის ავლით იზოლაციის რეჟიმები და შეასრულოთ კოდი root უფლებებით;
  • დაუცველობა Android-ში გამოყენებული Linux TCP სტეკის გამოცემაში, რაც ადგილობრივ მომხმარებელს საშუალებას აძლევს აამაღლოს თავისი პრივილეგიები მოწყობილობაზე;
  • მოწყვლადობა systemd-journald-ში, რომელიც საშუალებას გაძლევთ მოიპოვოთ root უფლებები;
  • დაუცველობა tmpreaper უტილიტაში დასუფთავებისთვის /tmp, რომელიც საშუალებას გაძლევთ შეინახოთ თქვენი ფაილი ფაილური სისტემის ნებისმიერ ნაწილში;
• საუკეთესო კრიპტოგრაფიული შეტევა. დაჯილდოვებულია რეალურ სისტემებში, პროტოკოლებსა და დაშიფვრის ალგორითმებში ყველაზე მნიშვნელოვანი ხარვეზების იდენტიფიცირებისთვის. პრიზი იდენტიფიკაციისთვის გადაეცა სისუსტეები WPA3 უკაბელო ქსელის უსაფრთხოების ტექნოლოგიაში და EAP-pwd, რომელიც საშუალებას გაძლევთ ხელახლა შექმნათ კავშირის პაროლი და მიიღოთ წვდომა უკაბელო ქსელში პაროლის ცოდნის გარეშე.

  ჯილდოს სხვა კანდიდატები იყვნენ:

  • მეთოდი შეტევები PGP და S/MIME დაშიფვრაზე ელფოსტის კლიენტებში;
  • განაცხადის ცივი ჩატვირთვის მეთოდი დაშიფრული Bitlocker დანაყოფების შინაარსზე წვდომის მისაღებად;
  • დაუცველობა OpenSSL-ში, რომელიც საშუალებას გაძლევთ გამოყოთ არასწორი padding-ისა და არასწორი MAC-ის მიღების სიტუაციები. პრობლემა გამოწვეულია padding oracle-ში ნულოვანი ბაიტების არასწორი დამუშავებით;
  • პრობლემები SAML-ის გამოყენებით გერმანიაში გამოყენებული ID ბარათებით;
  • პრობლემა შემთხვევითი რიცხვების ენტროპიით ChromeOS-ში U2F ტოკენების მხარდაჭერის განხორციელებისას;
  • დაუცველობა მონოციფერში, რის გამოც ნულოვანი EdDSA ხელმოწერები სწორად იქნა აღიარებული.
• ყველაზე ინოვაციური კვლევა ოდესმე. პრიზი ტექნოლოგიის შემქმნელს გადაეცა ვექტორიზებული ემულაცია, რომელიც იყენებს AVX-512 ვექტორულ ინსტრუქციებს პროგრამის შესრულების ემულაციისთვის, რაც საშუალებას იძლევა მნიშვნელოვნად გაზარდოს fuzzing ტესტირების სიჩქარე (40-120 მილიარდამდე ინსტრუქცია წამში). ტექნიკა საშუალებას აძლევს CPU-ის თითოეულ ბირთვს აწარმოოს 8 64-ბიტიანი ან 16 32-ბიტიანი ვირტუალური მანქანა აპლიკაციის ფუზური ტესტირების ინსტრუქციების პარალელურად.

  ჯილდოს მიღების უფლება ჰქონდათ შემდეგს:

  • დაუცველობა MS Excel-ის Power Query ტექნოლოგიაში, რომელიც საშუალებას გაძლევთ მოაწყოთ კოდის შესრულება და გვერდის ავლით აპლიკაციის იზოლაციის მეთოდები სპეციალურად შექმნილი ცხრილების გახსნისას;
  • მეთოდი Tesla-ს მანქანების ავტოპილოტის მოტყუება, რათა პროვოცირება მოახდინონ შემხვედრ ზოლში მოძრაობისას;
  • მუშაობა Siemens S7-1200 ASICS ჩიპის საპირისპირო ინჟინერია;
  • SonarSnoop - თითების მოძრაობის თვალთვალის ტექნიკა ტელეფონის განბლოკვის კოდის დასადგენად, სონარის მუშაობის პრინციპზე დაფუძნებული - სმარტფონის ზედა და ქვედა დინამიკები წარმოქმნიან გაუგონარ ვიბრაციას და ჩაშენებული მიკროფონები იღებენ მათ, რათა გააანალიზონ ვიბრაციების არსებობა, რომელიც ასახულია. ხელი;
  • განვითარება NSA-ს Ghidra-ს საპირისპირო საინჟინრო ინსტრუმენტარიუმი;
  • უსაფრთხო — ტექნიკა იდენტური ფუნქციებისთვის კოდის გამოყენების დასადგენად რამდენიმე შესრულებად ფაილში ბინარული შეკრებების ანალიზის საფუძველზე;
  • შექმნა მეთოდი Intel Boot Guard მექანიზმის გვერდის ავლით, რათა ჩაიტვირთოს შეცვლილი UEFI firmware ციფრული ხელმოწერის გადამოწმების გარეშე.
• ყველაზე კოჭლი რეაქცია გამყიდველისგან (Lamest გამყიდველი პასუხი). ნომინაცია ყველაზე არაადეკვატური პასუხისთვის თქვენს საკუთარ პროდუქტში დაუცველობის შესახებ შეტყობინებაზე. გამარჯვებულები არიან BitFi კრიპტო საფულის დეველოპერები, რომლებიც ყვირიან თავიანთი პროდუქტის ულტრა უსაფრთხოებაზე, რაც სინამდვილეში წარმოსახვითი აღმოჩნდა, ავიწროებენ მკვლევარებს, რომლებიც იდენტიფიცირებენ დაუცველობას და არ იხდიან დაპირებულ ბონუსებს პრობლემების იდენტიფიცირებისთვის;

  ჯილდოს აპლიკანტებს შორის ასევე განიხილება:

  • უსაფრთხოების მკვლევარმა დაადანაშაულა Atrient-ის დირექტორი მასზე თავდასხმაში, რათა აიძულოს იგი ამოეღო ანგარიში მის მიერ აღმოჩენილი დაუცველობის შესახებ, მაგრამ დირექტორი უარყოფს ინციდენტს და სათვალთვალო კამერებმა თავდასხმა არ დააფიქსირეს;
  • მასშტაბირებამ გადაიდო კრიტიკული პრობლემის მოგვარება სისუსტეები მის საკონფერენციო სისტემაში და გამოასწორა პრობლემა მხოლოდ საჯარო გამჟღავნების შემდეგ. დაუცველობამ გარე თავდამსხმელს საშუალება მისცა, მიეღო მონაცემები macOS-ის მომხმარებლების ვებ კამერებიდან ბრაუზერში სპეციალურად შექმნილი გვერდის გახსნისას (Zoom-მა გაუშვა http სერვერი კლიენტის მხარეს, რომელიც იღებდა ბრძანებებს ადგილობრივი აპლიკაციიდან).
  • გამოსწორება 10 წელზე მეტი ხნის განმავლობაში პრობლემა OpenPGP კრიპტოგრაფიული გასაღები სერვერებით, იმის მოტივით, რომ კოდი დაწერილია კონკრეტულ OCaml ენაზე და რჩება შემნახველის გარეშე.

  დაუცველობის შესახებ ყველაზე პოპულარული განცხადება ჯერჯერობით. დაჯილდოვებულია პრობლემის ყველაზე პათეტიკური და ფართომასშტაბიანი გაშუქებისთვის ინტერნეტსა და მედიაში, განსაკუთრებით იმ შემთხვევაში, თუ დაუცველობა საბოლოოდ აღმოჩნდება პრაქტიკაში გამოუყენებელი. პრიზი ბლუმბერგს გადაეცა განცხადება სუპერ მიკრო დაფებში ჯაშუშური ჩიპების იდენტიფიკაციის შესახებ, რაც არ დადასტურდა და წყარომ მიუთითა აბსოლუტურად სხვა ინფორმაცია.

  ნომინაციაში აღნიშნულია:

  • დაუცველობა libssh-ში, რომელიც შეეხო ერთი სერვერის აპლიკაციები (libssh თითქმის არასოდეს გამოიყენება სერვერებისთვის), მაგრამ NCC ჯგუფის მიერ იყო წარმოდგენილი, როგორც დაუცველობა, რომელიც საშუალებას იძლევა შეტევა ნებისმიერ OpenSSH სერვერზე.
  • შეტევა DICOM სურათების გამოყენებით. საქმე იმაშია, რომ თქვენ შეგიძლიათ მოამზადოთ შესრულებადი ფაილი Windows-ისთვის, რომელიც გამოიყურება როგორც მოქმედი DICOM გამოსახულება. ეს ფაილი შეიძლება ჩამოიტვირთოს სამედიცინო მოწყობილობაში და შესრულდეს.
  • დაუცველობა Thrangrycat, რომელიც საშუალებას გაძლევთ გვერდის ავლით უსაფრთხო ჩატვირთვის მექანიზმი Cisco მოწყობილობებზე. დაუცველობა კლასიფიცირებულია, როგორც გადაჭარბებული პრობლემა, რადგან ის მოითხოვს root უფლებების შეტევას, მაგრამ თუ თავდამსხმელმა უკვე შეძლო root წვდომის მოპოვება, მაშინ რა უსაფრთხოებაზე შეიძლება ვისაუბროთ. დაუცველობამ ასევე გაიმარჯვა ყველაზე დაუფასებელი პრობლემების კატეგორიაში, რადგან ის საშუალებას გაძლევთ შემოიტანოთ მუდმივი უკანა კარი Flash-ში;
• ყველაზე დიდი მარცხი (ყველაზე ეპიკური FAIL). გამარჯვება მიენიჭა ბლუმბერგს სენსაციური სტატიების სერიისთვის, ხმამაღალი სათაურებით, მაგრამ მოგონილი ფაქტებით, წყაროების ჩახშობისთვის, შეთქმულების თეორიაში ჩავარდნისთვის, ისეთი ტერმინების გამოყენებისთვის, როგორიცაა „კიბერიარაღი“ და მიუღებელი განზოგადებები. სხვა ნომინანტებში შედის:
  • Shadowhammer შეტევა Asus firmware განახლების სერვისზე;
  • BitFi სარდაფის გატეხვა, რომელიც რეკლამირებულია, როგორც „გაუტეხავი“;
  • პერსონალური მონაცემების გაჟონვა და ჟეტონები წვდომა Facebook-ზე.

წყარო: opennet.ru