ពានរង្វាន់ Pwnie Awards 2021៖ ភាពងាយរងគ្រោះ និងបរាជ័យដ៏សំខាន់បំផុតនៃសុវត្ថិភាព

អ្នកឈ្នះនៃពានរង្វាន់ Pwnie Awards 2021 ប្រចាំឆ្នាំត្រូវបានប្រកាស ដោយបង្ហាញពីភាពងាយរងគ្រោះដ៏សំខាន់បំផុត និងការបរាជ័យដែលមិនសមហេតុផលនៅក្នុងសុវត្ថិភាពកុំព្យូទ័រ។ ពានរង្វាន់ Pwnie ត្រូវបានចាត់ទុកថាស្មើនឹងពានរង្វាន់ Oscars និង Golden Raspberries ក្នុងវិស័យសុវត្ថិភាពកុំព្យូទ័រ។

អ្នកឈ្នះសំខាន់ៗ (បញ្ជីអ្នកប្រកួតប្រជែង)៖

• ភាពងាយរងគ្រោះល្អបំផុតដែលនាំទៅដល់ការកើនឡើងនៃសិទ្ធិ។ ជ័យជម្នះនេះត្រូវបានប្រគល់ជូន Qualys សម្រាប់កំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះ CVE-2021-3156 នៅក្នុងឧបករណ៍ប្រើប្រាស់ sudo ដែលអនុញ្ញាតឱ្យអ្នកទទួលបានសិទ្ធិជា root ។ ភាពងាយរងគ្រោះនេះមានវត្តមាននៅក្នុងកូដប្រហែល 10 ឆ្នាំ ហើយគួរឱ្យកត់សម្គាល់ក្នុងការកំណត់អត្តសញ្ញាណវាទាមទារការវិភាគហ្មត់ចត់នៃតក្កវិជ្ជានៃឧបករណ៍ប្រើប្រាស់។
• កំហុសម៉ាស៊ីនមេល្អបំផុត។ ទទួលបានរង្វាន់សម្រាប់ការកំណត់អត្តសញ្ញាណ និងទាញយកកំហុសដែលស្មុគ្រស្មាញ និងគួរឱ្យចាប់អារម្មណ៍បំផុតនៅក្នុងសេវាកម្មបណ្តាញ។ ជ័យជម្នះនេះត្រូវបានផ្តល់ជូនសម្រាប់ការកំណត់អត្តសញ្ញាណវ៉ិចទ័រថ្មីនៃការវាយប្រហារលើ Microsoft Exchange ។ ព័ត៌មានអំពីភាពងាយរងគ្រោះទាំងអស់នៃថ្នាក់នេះមិនត្រូវបានផ្សព្វផ្សាយទេ ប៉ុន្តែព័ត៌មានត្រូវបានបញ្ចេញរួចហើយអំពីភាពងាយរងគ្រោះ CVE-2021-26855 (ProxyLogon) ដែលអនុញ្ញាតឱ្យអ្នកទាញយកទិន្នន័យរបស់អ្នកប្រើប្រាស់តាមអំពើចិត្តដោយគ្មានការផ្ទៀងផ្ទាត់ និង CVE-2021-27065 ដែលធ្វើឱ្យវាអាចធ្វើទៅបានដើម្បីប្រតិបត្តិកូដរបស់អ្នកនៅលើម៉ាស៊ីនមេដែលមានសិទ្ធិអ្នកគ្រប់គ្រង។
• ការវាយប្រហារគ្រីបល្អបំផុត។ ទទួលបានរង្វាន់សម្រាប់ការកំណត់អត្តសញ្ញាណគម្លាតដ៏សំខាន់បំផុតនៅក្នុងប្រព័ន្ធពិត ពិធីការ និងក្បួនដោះស្រាយការអ៊ិនគ្រីប។ ពានរង្វាន់នេះត្រូវបានផ្តល់ជូនក្រុមហ៊ុន Microsoft សម្រាប់ភាពងាយរងគ្រោះ (CVE-2020-0601) ក្នុងការអនុវត្តហត្ថលេខាឌីជីថលដោយផ្អែកលើខ្សែកោងរាងអេលីប ដែលអនុញ្ញាតឱ្យបង្កើតសោឯកជនដោយផ្អែកលើសោសាធារណៈ។ បញ្ហានេះអនុញ្ញាតឱ្យបង្កើតវិញ្ញាបនបត្រ TLS ក្លែងក្លាយសម្រាប់ HTTPS និងហត្ថលេខាឌីជីថលក្លែងក្លាយដែលត្រូវបានផ្ទៀងផ្ទាត់ថាគួរឱ្យទុកចិត្តដោយ Windows ។
• ការស្រាវជ្រាវប្រកបដោយភាពច្នៃប្រឌិតបំផុតដែលមិនធ្លាប់មាន។ រង្វាន់ត្រូវបានប្រគល់ជូនអ្នកស្រាវជ្រាវដែលបានស្នើវិធីសាស្ត្រ BlindSide ដើម្បីចៀសវាងការការពារដោយចៃដន្យតាមអាសយដ្ឋាន (ASLR) ដោយប្រើការលេចធ្លាយឆានែលចំហៀងដែលបណ្តាលមកពីការប្រតិបត្តិតាមការណែនាំរបស់ដំណើរការប៉ាន់ស្មាន។
• ការបរាជ័យដ៏ធំបំផុត (Most Epic FAIL)។ ពានរង្វាន់នេះត្រូវបានផ្តល់ជូនដល់ក្រុមហ៊ុន Microsoft សម្រាប់ការចេញផ្សាយម្តងហើយម្តងទៀតនូវការជួសជុលដែលខូចសម្រាប់ភាពងាយរងគ្រោះ PrintNightmare (CVE-2021-34527) នៅក្នុងប្រព័ន្ធបោះពុម្ព Windows ដែលអនុញ្ញាតឱ្យដំណើរការកូដ។ ដើមឡើយក្រុមហ៊ុន Microsoft បានដាក់ទង់បញ្ហានេះថាជាមូលដ្ឋាន ប៉ុន្តែបន្ទាប់មកវាបានប្រែក្លាយថាការវាយប្រហារអាចត្រូវបានអនុវត្តពីចម្ងាយ។ បន្ទាប់មកក្រុមហ៊ុន Microsoft បានបោះពុម្ពផ្សាយការធ្វើបច្ចុប្បន្នភាពចំនួនបួនដង ប៉ុន្តែរាល់ពេលដែលការជួសជុលបានបិទករណីពិសេសមួយ ហើយអ្នកស្រាវជ្រាវបានរកឃើញវិធីថ្មីដើម្បីអនុវត្តការវាយប្រហារនេះ។
• កំហុសល្អបំផុតនៅក្នុងកម្មវិធីអតិថិជន។ អ្នកឈ្នះគឺជាអ្នកស្រាវជ្រាវដែលកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះ CVE-2020-28341 នៅក្នុង Samsung secure cryptoprocessors ដែលទទួលបានវិញ្ញាបនបត្រសុវត្ថិភាព CC EAL 5+ ។ ភាពងាយរងគ្រោះបានធ្វើឱ្យវាអាចឆ្លងផុតសុវត្ថិភាពទាំងស្រុង និងទទួលបានសិទ្ធិចូលប្រើកូដដែលដំណើរការលើបន្ទះឈីប និងទិន្នន័យដែលបានរក្សាទុកក្នុងបរិក្ខារ ចៀសវៀងការចាក់សោធាតុរក្សាអេក្រង់ ព្រមទាំងធ្វើការផ្លាស់ប្តូរកម្មវិធីបង្កប់ដើម្បីបង្កើត backdoor លាក់។
• ភាពងាយរងគ្រោះដែលប៉ាន់ស្មានមិនដល់បំផុត។ ពានរង្វាន់នេះត្រូវបានផ្តល់ទៅឱ្យ Qualys សម្រាប់កំណត់អត្តសញ្ញាណស៊េរីនៃភាពងាយរងគ្រោះ 21Nails នៅក្នុងម៉ាស៊ីនមេ Exim mail ដែល 10 អាចត្រូវបានទាញយកពីចម្ងាយ។ អ្នកអភិវឌ្ឍន៍ Exim មានការសង្ស័យថាបញ្ហាអាចត្រូវបានកេងប្រវ័ញ្ច និងចំណាយពេលជាង 6 ខែដើម្បីបង្កើតការជួសជុល។
• ការឆ្លើយតបរបស់អ្នកលក់ដ៏អាក្រក់បំផុត។ ការតែងតាំងសម្រាប់ការឆ្លើយតបមិនគ្រប់គ្រាន់បំផុតចំពោះសារអំពីភាពងាយរងគ្រោះនៅក្នុងផលិតផលផ្ទាល់ខ្លួនរបស់អ្នក។ អ្នកឈ្នះគឺ Cellebrite ដែលជាក្រុមហ៊ុនបង្កើតកម្មវិធីសម្រាប់ការវិភាគកោសល្យវិច្ច័យ និងការទាញយកទិន្នន័យដោយភ្នាក់ងារអនុវត្តច្បាប់។ Cellebrite មិនបានឆ្លើយតបឱ្យបានគ្រប់គ្រាន់ចំពោះរបាយការណ៍ភាពងាយរងគ្រោះដែលផ្ញើដោយ Moxie Marlinspike ដែលជាអ្នកនិពន្ធនៃពិធីការសញ្ញា។ Moxey បានចាប់អារម្មណ៍លើ Cellebrite បន្ទាប់ពីការបោះពុម្ពផ្សាយនៅក្នុងប្រព័ន្ធផ្សព្វផ្សាយនៃចំណាំអំពីការបង្កើតបច្ចេកវិទ្យាដែលអនុញ្ញាតឱ្យលួចចូលអ៊ីនគ្រីបសារ Signal ដែលក្រោយមកបានប្រែក្លាយទៅជាក្លែងក្លាយដោយសារតែការបកស្រាយខុសនៃព័ត៌មាននៅក្នុងអត្ថបទមួយនៅលើគេហទំព័រ Cellebrite ដែលជា បន្ទាប់មកបានដកចេញ ("ការវាយប្រហារ" ទាមទារការចូលប្រើរាងកាយទៅកាន់ទូរស័ព្ទ និងសមត្ថភាពក្នុងការលុបអេក្រង់ចាក់សោ ពោលគឺវាត្រូវបានកាត់បន្ថយទៅការមើលសារនៅក្នុងកម្មវិធីផ្ញើសារ ប៉ុន្តែមិនមែនដោយដៃទេ ប៉ុន្តែប្រើកម្មវិធីពិសេសដែលក្លែងធ្វើសកម្មភាពរបស់អ្នកប្រើប្រាស់)។

  Moxey បានសិក្សាកម្មវិធី Cellebrite ហើយបានរកឃើញភាពងាយរងគ្រោះសំខាន់ៗនៅទីនោះ ដែលអនុញ្ញាតឱ្យដំណើរការកូដបំពាននៅពេលព្យាយាមស្កេនទិន្នន័យដែលបានរចនាជាពិសេស។ កម្មវិធី Cellebrite ក៏ត្រូវបានគេរកឃើញថាកំពុងប្រើប្រាស់បណ្ណាល័យ ffmpeg ហួសសម័យ ដែលមិនត្រូវបានអាប់ដេតអស់រយៈពេល 9 ឆ្នាំ ហើយមានចំណុចងាយរងគ្រោះមួយចំនួនធំដែលមិនបានជួសជុល។ ជំនួសឱ្យការទទួលយកបញ្ហា និងដោះស្រាយបញ្ហា Cellebrite បានចេញសេចក្តីថ្លែងការណ៍ថាវាយកចិត្តទុកដាក់ចំពោះភាពត្រឹមត្រូវនៃទិន្នន័យអ្នកប្រើប្រាស់ រក្សាសុវត្ថិភាពនៃផលិតផលរបស់ខ្លួនក្នុងកម្រិតត្រឹមត្រូវ ចេញផ្សាយការអាប់ដេតជាប្រចាំ និងផ្តល់នូវកម្មវិធីល្អបំផុតនៃប្រភេទរបស់វា។

• សមិទ្ធិផលធំបំផុត។ រង្វាន់នេះត្រូវបានប្រគល់ជូនដល់លោក Ilfak Gilfanov អ្នកនិពន្ធ IDA disassembler និង Hex-Rays decompiler សម្រាប់ការរួមចំណែករបស់គាត់ក្នុងការអភិវឌ្ឍន៍ឧបករណ៍សម្រាប់អ្នកស្រាវជ្រាវសន្តិសុខ និងសមត្ថភាពរបស់គាត់ក្នុងការថែរក្សាផលិតផលទាន់សម័យសម្រាប់រយៈពេល 30 ឆ្នាំ។

ប្រភព: opennet.ru