ការប្រកួតប្រជែង ZeroDay Cloud បានបង្ហាញពីការវាយប្រហារដោយជោគជ័យចំនួន 11 លើ Redis, PostgreSQL, MariaDB និង kernel។ Linux

លទ្ធផលនៃការប្រកួតប្រជែង ZeroDay Cloud ដែលបានធ្វើឡើងនៅក្នុងសន្និសីទ Black Hat Europe និងមានគោលបំណងកំណត់អត្តសញ្ញាណចំណុចខ្សោយនៅក្នុងកម្មវិធីប្រភពបើកចំហដែលប្រើក្នុងបរិស្ថាន cloud ត្រូវបានប្រកាស។ ក្នុងអំឡុងពេលនៃព្រឹត្តិការណ៍នេះ ចំណុចខ្សោយចំនួន 11 ដែលមិនស្គាល់ពីមុនត្រូវបានបង្ហាញនៅក្នុង Redis, PostgreSQL, MariaDB និង kernel។ Linux និង Grafana។ រង្វាន់សរុបដែលបានផ្តល់ជូនគឺ ៣២០,០០០ ដុល្លារ ក្នុងចំណោមរង្វាន់សរុបដែលបានប្រកាសចំនួន ៤,៥ លានដុល្លារ។

យោងតាមច្បាប់នៃការប្រកួតប្រជែង អ្នកចូលរួមត្រូវបានតម្រូវឱ្យបង្ហាញពីការកេងប្រវ័ញ្ចដែលដំណើរការបាន ដែលកេងប្រវ័ញ្ចភាពងាយរងគ្រោះ zero-day ដែលមិនស្គាល់ពីមុន។ នៅក្នុងប្រភេទ "Virtualization" ការកេងប្រវ័ញ្ចត្រូវតែអនុញ្ញាតឱ្យគេចចេញពីកុងតឺន័រដាច់ដោយឡែក ឬម៉ាស៊ីននិម្មិត ខណៈពេលដែលនៅក្នុងប្រភេទផ្សេងទៀត ពួកគេត្រូវតែនាំទៅរកការប្រតិបត្តិកូដពីចម្ងាយ។ ការកំណត់រចនាសម្ព័ន្ធសម្រាប់កម្មវិធីដែលត្រូវបានគេលួចចូលត្រូវបានបង្ហោះនៅលើ GitHub។

ការវាយប្រហារដែលបានបង្ហាញ៖

• ការវាយប្រហារចំនួនប្រាំលើកលើមូលដ្ឋានទិន្នន័យ Redis ដែលបណ្តាលឱ្យមានការប្រតិបត្តិកូដពីចម្ងាយក្នុងអំឡុងពេលចូលប្រើដែលមានការផ្ទៀងផ្ទាត់ (រង្វាន់ចំនួនប្រាំដងចំនួន 30,000 ដុល្លារ)។
• ការវាយប្រហារចំនួនបីលើកលើ PostgreSQL DBMS ដែលបណ្តាលឱ្យមានការប្រតិបត្តិកូដពីចម្ងាយក្នុងអំឡុងពេលចូលប្រើដែលមានការផ្ទៀងផ្ទាត់ (រង្វាន់ចំនួនបីដែលមានតម្លៃ ៣០,០០០ ដុល្លារ)។
• ការវាយប្រហារ MariaDB បណ្តាលឱ្យមានការប្រតិបត្តិកូដពីចម្ងាយតាមរយៈការចូលប្រើដែលបានផ្ទៀងផ្ទាត់ (រង្វាន់ចំនួនបីដែលមានតម្លៃ 30,000 ដុល្លារ)។
• ការប្រតិបត្តិកូដពីចម្ងាយនៅក្នុងវេទិកាមើលឃើញទិន្នន័យ Grafana ជាមួយនឹងការចូលប្រើចំណុចប្រទាក់ដែលមានការផ្ទៀងផ្ទាត់ ($10,000)។
• វាយប្រហារលើស្នូល Linuxដែលអនុញ្ញាតឱ្យទុកធុងដាច់ដោយឡែកនៅក្នុង Ubuntu (៣០,០០០ ដុល្លារ)។
• ការប៉ុនប៉ងវាយប្រហារ vLLM និង Ollama ចំនួនពីរលើកមិនបានជោគជ័យទេ ដោយសារអ្នកចូលរួមមិនអាចបញ្ចប់ការវាយប្រហារក្នុងរយៈពេលកំណត់។

ក្រុម Xint Code ត្រូវបានប្រកាសថាជាអ្នកឈ្នះ បន្ទាប់ពីវាយប្រហារ Redis, PostgreSQL និង MariaDB ដោយជោគជ័យ ដោយទទួលបានប្រាក់ចំនួន 90 ដុល្លារ។ ជាពិសេស ភាពងាយរងគ្រោះដែលបង្ហាញដោយក្រុម Xint Code ត្រូវបានកំណត់អត្តសញ្ញាណដោយប្រើឧបករណ៍វិភាគ AI របស់ Xint Code។

រង្វាន់ធំបំផុតចំនួន ៣០០,០០០ ដុល្លារដែលផ្តល់ជូនសម្រាប់ការ hack NGINX នៅតែមិនទាន់មានការទាមទារនៅឡើយទេ ក៏ដូចជារង្វាន់ចំនួន ១០០,០០០ ដុល្លារដែលផ្តល់ជូនសម្រាប់ការ hack ដោយគ្មានការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវរបស់ Apache Tomcat, Redis, PostgreSQL និង MariaDB។ មិនមានការទាមទារណាមួយត្រូវបានទទួលសម្រាប់ការ hack Docker, Containerd, Envoy, Caddy, NVIDIA Container Toolkit, Kubernetes API Server, Kubelet Server, Prometheus, Fluent Bit, Apache Airflow, Jenkins និង GitLab CE នោះទេ។

ព័ត៌មានលម្អិតអំពីលក្ខណៈនៃភាពងាយរងគ្រោះមិនទាន់មាននៅឡើយទេ។ ស្របតាមលក្ខខណ្ឌរបស់ការប្រកួតប្រជែង ព័ត៌មានលម្អិតអំពីភាពងាយរងគ្រោះដែលបានកំណត់ទាំងអស់ត្រូវបានផ្តល់ជូនអ្នកអភិវឌ្ឍន៍នៃគម្រោងដែលរងផលប៉ះពាល់ ហើយនឹងត្រូវបានបោះពុម្ពផ្សាយបន្ទាប់ពីអ្នកលក់ចេញផ្សាយបំណះ។

ប្រភព: opennet.ru