Pwnie Awards 2021: უსაფრთხოების ყველაზე მნიშვნელოვანი ხარვეზები და წარუმატებლობები

გამოცხადდა ყოველწლიური Pwnie Awards 2021-ის გამარჯვებულები, რომლებიც ხაზს უსვამენ ყველაზე მნიშვნელოვან დაუცველობას და აბსურდულ წარუმატებლობას კომპიუტერის უსაფრთხოებაში. Pwnie Awards ითვლება ოსკარისა და ოქროს ჟოლოს ეკვივალენტად კომპიუტერული უსაფრთხოების სფეროში.

მთავარი გამარჯვებულები (კონკურენტების სია):

• საუკეთესო დაუცველობა, რომელიც იწვევს პრივილეგიების ესკალაციას. გამარჯვება მიენიჭა Qualys-ს სუდო უტილიტაში CVE-2021-3156 დაუცველობის იდენტიფიცირებისთვის, რაც საშუალებას გაძლევთ მიიღოთ root პრივილეგიები. დაუცველობა კოდში არსებობდა დაახლოებით 10 წლის განმავლობაში და აღსანიშნავია იმით, რომ მისი იდენტიფიცირება მოითხოვდა კომუნალური ლოგიკის საფუძვლიან ანალიზს.
• საუკეთესო სერვერის შეცდომა. დაჯილდოვებულია ქსელის სერვისში ტექნიკურად ყველაზე რთული და საინტერესო ხარვეზის იდენტიფიკაციისა და გამოყენებისთვის. გამარჯვება მიენიჭა Microsoft Exchange-ზე თავდასხმების ახალი ვექტორის იდენტიფიცირებისთვის. ინფორმაცია ამ კლასის ყველა დაუცველობის შესახებ არ არის გამოქვეყნებული, მაგრამ ინფორმაცია უკვე გამჟღავნებულია დაუცველობის შესახებ CVE-2021-26855 (ProxyLogon), რომელიც საშუალებას გაძლევთ ამოიღოთ თვითნებური მომხმარებლის მონაცემები ავთენტიფიკაციის გარეშე და CVE-2021-27065 , რაც შესაძლებელს ხდის თქვენი კოდის შესრულებას სერვერზე ადმინისტრატორის უფლებებით.
• საუკეთესო კრიპტოგრაფიული შეტევა. დაჯილდოვებულია რეალურ სისტემებში, პროტოკოლებსა და დაშიფვრის ალგორითმებში ყველაზე მნიშვნელოვანი ხარვეზების იდენტიფიცირებისთვის. ჯილდო მიენიჭა Microsoft-ს დაუცველობისთვის (CVE-2020-0601) ციფრული ხელმოწერების დანერგვაში, რომელიც ეფუძნება ელიფსურ მოსახვევებს, რაც საშუალებას იძლევა შექმნას პირადი გასაღებები საჯარო გასაღებებზე დაყრდნობით. ამ საკითხმა საშუალება მისცა შექმნათ ყალბი TLS სერთიფიკატები HTTPS-ისთვის და ფიქტიური ციფრული ხელმოწერებისთვის, რომლებიც დადასტურებული იყო, როგორც სანდო Windows-ის მიერ.
• ყველაზე ინოვაციური კვლევა ოდესმე. პრიზი მიენიჭათ მკვლევარებს, რომლებმაც შემოგვთავაზეს BlindSide მეთოდი მისამართებზე დაფუძნებული რანდომიზაციის (ASLR) დაცვის გვერდის ავლით, გვერდითი არხის გაჟონვის გამოყენებით, რომელიც გამოწვეულია ინსტრუქციების სპეკულაციური პროცესორის შესრულების შედეგად.
• ყველაზე დიდი მარცხი (Most Epic FAIL). ჯილდო მიენიჭა Microsoft-ს Windows-ის ბეჭდვის სისტემაში PrintNightmare დაუცველობის (CVE-2021-34527) გატეხილი შესწორების არაერთხელ გამოქვეყნებისთვის, რომელიც საშუალებას აძლევს კოდის შესრულებას. მაიკროსოფტმა თავდაპირველად პრობლემა ლოკალურად დაასახელა, მაგრამ შემდეგ აღმოჩნდა, რომ შეტევა დისტანციურად განხორციელდა. შემდეგ მაიკროსოფტმა ოთხჯერ გამოაქვეყნა განახლებები, მაგრამ ყოველ ჯერზე გამოსწორება მხოლოდ სპეციალურ საქმეს ხურავდა და მკვლევარებმა თავდასხმის განხორციელების ახალი გზა იპოვეს.
• საუკეთესო შეცდომა კლიენტის პროგრამულ უზრუნველყოფაში. გამარჯვებული იყო მკვლევარი, რომელმაც დაადგინა CVE-2020-28341 დაუცველობა Samsung-ის უსაფრთხო კრიპტოპროცესორებში, რომელმაც მიიღო CC EAL 5+ უსაფრთხოების სერტიფიკატი. დაუცველობამ შესაძლებელი გახადა უსაფრთხოების სრული გვერდის ავლით და წვდომა ჩიპზე გაშვებულ კოდზე და ანკლავში შენახულ მონაცემებზე, ეკრანმზოგის დაბლოკვის გვერდის ავლით და ასევე პროგრამულ პროგრამაში ცვლილებების შეტანა ფარული უკანა კარის შესაქმნელად.
• ყველაზე ნაკლებად შეფასებული დაუცველობა. ჯილდო მიენიჭა Qualys-ს Exim mail-ის სერვერზე 21Nails-ის დაუცველობის სერიის იდენტიფიცირებისთვის, რომელთაგან 10-ის გამოყენება შესაძლებელია დისტანციურად. Exim-ის დეველოპერები სკეპტიკურად უყურებდნენ პრობლემების გამოყენებას და 6 თვეზე მეტი დახარჯეს გამოსწორების შემუშავებაზე.
• ყველაზე ლამის გამყიდველის პასუხი. ნომინაცია ყველაზე არაადეკვატური პასუხისთვის თქვენს საკუთარ პროდუქტში დაუცველობის შესახებ შეტყობინებაზე. გამარჯვებული იყო კომპანია Cellebrite, რომელიც ქმნის აპლიკაციებს სამართალდამცავი ორგანოების მიერ სასამართლო ექსპერტიზისა და მონაცემების მოპოვებისთვის. Cellebrite-მა არ უპასუხა ადეკვატურად მოწყვლადობის ანგარიშს, რომელიც გაგზავნილია Moxie Marlinspike-ის, სიგნალის პროტოკოლის ავტორის მიერ. Moxey დაინტერესდა Cellebrite-ით მას შემდეგ, რაც მედიაში გამოქვეყნდა ჩანაწერი ტექნოლოგიის შექმნის შესახებ, რომელიც საშუალებას აძლევს დაშიფრული სიგნალის შეტყობინებების გატეხვას, რომელიც მოგვიანებით აღმოჩნდა ყალბი Cellebrite ვებსაიტზე სტატიაში ინფორმაციის არასწორი ინტერპრეტაციის გამო, რომელიც იყო შემდეგ ამოღებულია („შეტევა“ მოითხოვდა ფიზიკურ წვდომას ტელეფონზე და დაბლოკვის ეკრანის ამოღების შესაძლებლობას, ანუ ის შემცირდა მესინჯერში შეტყობინებების ნახვით, მაგრამ არა ხელით, არამედ სპეციალური აპლიკაციის გამოყენებით, რომელიც ახდენს მომხმარებლის მოქმედებების სიმულაციას).

  მოქსიმ შეისწავლა Cellebrite აპლიკაციები და აღმოაჩინა იქ კრიტიკული დაუცველობა, რაც საშუალებას აძლევდა თვითნებური კოდის შესრულებას სპეციალურად შექმნილი მონაცემების სკანირების მცდელობისას. ასევე აღმოჩნდა, რომ Cellebrite აპლიკაცია იყენებდა მოძველებულ ffmpeg ბიბლიოთეკას, რომელიც არ იყო განახლებული 9 წლის განმავლობაში და შეიცავდა უამრავ შეუცვლელ დაუცველობას. პრობლემების აღიარებისა და პრობლემების გამოსწორების ნაცვლად, Cellebrite-მა გამოაქვეყნა განცხადება, რომ ზრუნავს მომხმარებლის მონაცემების მთლიანობაზე, ინარჩუნებს თავისი პროდუქტების უსაფრთხოებას შესაბამის დონეზე, რეგულარულად აქვეყნებს განახლებებს და აწვდის საუკეთესო აპლიკაციებს.

• ყველაზე დიდი მიღწევა. პრიზი მიენიჭა ილფაკ გილფანოვს, IDA-ს დაშლისა და Hex-Rays დეკომპილერის ავტორს, უსაფრთხოების მკვლევარებისთვის ხელსაწყოების შემუშავებაში შეტანილი წვლილისთვის და უახლესი პროდუქტის შენარჩუნების უნარისთვის 30 წლის განმავლობაში.

წყარო: opennet.ru