ລາງວັນ Pwnie 2021: ຄວາມສ່ຽງດ້ານຄວາມປອດໄພທີ່ສຳຄັນທີ່ສຸດ ແລະ ຄວາມລົ້ມເຫລວ

ຜູ້ຊະນະລາງວັນ Pwnie Awards 2021 ປະຈໍາປີ XNUMX ໄດ້ຖືກກໍານົດ, ຊີ້ໃຫ້ເຫັນຈຸດອ່ອນທີ່ສໍາຄັນແລະຄວາມລົ້ມເຫຼວທີ່ຫນ້າໂງ່ໃນດ້ານຄວາມປອດໄພຂອງຄອມພິວເຕີ. ລາງວັນ Pwnie ໄດ້ຖືກພິຈາລະນາທຽບເທົ່າຂອງ Oscars ແລະ Golden Raspberry ໃນຄວາມປອດໄພຂອງຄອມພິວເຕີ.

ຜູ້ຊະນະຕົ້ນຕໍ (ລາຍຊື່ຜູ້ແຂ່ງຂັນ):

• ຊ່ອງໂຫວ່ການຂະຫຍາຍສິດທິພິເສດທີ່ດີກວ່າ. ໄຊຊະນະໄດ້ຖືກມອບໃຫ້ Qualys ສໍາລັບການກໍານົດຈຸດອ່ອນ CVE-2021-3156 ໃນ sudo utility, ເຊິ່ງອະນຸຍາດໃຫ້ໄດ້ຮັບສິດທິພິເສດຂອງຮາກ. ຊ່ອງໂຫວ່ດັ່ງກ່າວມີຢູ່ໃນລະຫັດປະມານ 10 ປີແລະເປັນທີ່ຫນ້າສັງເກດສໍາລັບຄວາມຈິງທີ່ວ່າການວິເຄາະຢ່າງລະອຽດກ່ຽວກັບເຫດຜົນຂອງຜົນປະໂຫຍດແມ່ນຕ້ອງການເພື່ອກໍານົດມັນ.
• ຂໍ້ຜິດພາດຂອງເຄື່ອງແມ່ຂ່າຍທີ່ດີທີ່ສຸດ. ໄດ້ຮັບຮາງວັນສໍາລັບການກໍານົດແລະຂຸດຄົ້ນຂໍ້ບົກພ່ອງທາງດ້ານເຕັກນິກທີ່ສັບສົນແລະຫນ້າສົນໃຈທີ່ສຸດໃນການບໍລິການເຄືອຂ່າຍ. ໄຊຊະນະໄດ້ຮັບຮາງວັນສໍາລັບການກໍານົດ vector ໃຫມ່ຂອງການໂຈມຕີໃນ Microsoft Exchange. ຂໍ້ມູນກ່ຽວກັບຊ່ອງໂຫວ່ທັງໝົດຂອງຊັ້ນຮຽນນີ້ບໍ່ໄດ້ຖືກເຜີຍແຜ່, ແຕ່ຂໍ້ມູນໄດ້ຖືກເປີດເຜີຍແລ້ວກ່ຽວກັບຊ່ອງໂຫວ່ CVE-2021-26855 (ProxyLogon), ເຊິ່ງອະນຸຍາດໃຫ້ສະກັດຂໍ້ມູນຈາກຜູ້ໃຊ້ທີ່ມັກໂດຍບໍ່ໄດ້ຜ່ານການພິສູດຢືນຢັນ, ແລະ CVE-2021-27065, ເຊິ່ງເຮັດໃຫ້ ມັນເປັນໄປໄດ້ທີ່ຈະປະຕິບັດລະຫັດຂອງທ່ານໃນເຄື່ອງແມ່ຂ່າຍທີ່ມີສິດທິຂອງຜູ້ເບິ່ງແຍງລະບົບ.
• ການໂຈມຕີ cryptographic ທີ່ດີທີ່ສຸດ. ໄດ້ຮັບຮາງວັນສໍາລັບການກໍານົດຂໍ້ບົກພ່ອງທີ່ສໍາຄັນທີ່ສຸດໃນລະບົບທີ່ແທ້ຈິງ, ໂປໂຕຄອນ, ແລະລະບົບການເຂົ້າລະຫັດລັບ. ລາງວັນດັ່ງກ່າວໄດ້ຖືກມອບໃຫ້ Microsoft ສໍາລັບຊ່ອງໂຫວ່ (CVE-2020-0601) ໃນການປະຕິບັດລາຍເຊັນດິຈິຕອນເສັ້ນໂຄ້ງຮູບຮີທີ່ສາມາດສ້າງລະຫັດສ່ວນຕົວຈາກກະແຈສາທາລະນະ. ບັນຫາດັ່ງກ່າວໄດ້ອະນຸຍາດໃຫ້ສ້າງໃບຢັ້ງຢືນ TLS ປອມສໍາລັບ HTTPS ແລະລາຍເຊັນດິຈິຕອນທີ່ສົມມຸດຕິຖານ, ເຊິ່ງໄດ້ຮັບການຢັ້ງຢືນໃນ Windows ວ່າຫນ້າເຊື່ອຖື.
• ການຄົ້ນຄວ້າປະດິດສ້າງທີ່ສຸດ. ລາງວັນໄດ້ຖືກມອບໃຫ້ນັກຄົ້ນຄວ້າຜູ້ທີ່ສະເຫນີວິທີການ BlindSide ສໍາລັບການຂ້າມຜ່ານການປົກປ້ອງ Address Randomization Based Leverage (ASLR) ໂດຍໃຊ້ການຮົ່ວໄຫຼຂອງຊ່ອງທາງຂ້າງທີ່ເກີດຈາກການຄາດເດົາຂອງຄໍາແນະນໍາໂດຍໂປເຊດເຊີ.
• ຄວາມລົ້ມເຫຼວທີ່ໃຫຍ່ທີ່ສຸດ (Most Epic FAIL). ລາງວັນໄດ້ຖືກມອບໃຫ້ Microsoft ສໍາລັບການແກ້ໄຂທີ່ແຕກຫັກຫຼາຍລຸ້ນສໍາລັບຊ່ອງໂຫວ່ PrintNightmare (CVE-2021-34527) ໃນລະບົບການພິມ Windows ທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດລະຫັດຂອງທ່ານໄດ້. ໃນຕອນທໍາອິດ, Microsoft ໄດ້ທຸງບັນຫາດັ່ງກ່າວເປັນທ້ອງຖິ່ນ, ແຕ່ຫຼັງຈາກນັ້ນມັນໄດ້ກາຍເປັນວ່າການໂຈມຕີສາມາດດໍາເນີນການຫ່າງໄກສອກຫຼີກ. ຫຼັງຈາກນັ້ນ, Microsoft ໄດ້ເຜີຍແຜ່ການປັບປຸງສີ່ຄັ້ງ, ແຕ່ແຕ່ລະຄັ້ງການແກ້ໄຂປິດພຽງແຕ່ກໍລະນີພິເສດ, ແລະນັກຄົ້ນຄວ້າໄດ້ພົບເຫັນວິທີໃຫມ່ເພື່ອປະຕິບັດການໂຈມຕີ.
• bug ທີ່ດີທີ່ສຸດໃນຊອບແວລູກຄ້າ. ຜູ້ຊະນະແມ່ນນັກຄົ້ນຄວ້າຜູ້ທີ່ໄດ້ກໍານົດຈຸດອ່ອນ CVE-2020-28341 ໃນໂປເຊດເຊີ Samsung crypto ທີ່ປອດໄພທີ່ໄດ້ຮັບໃບຢັ້ງຢືນຄວາມປອດໄພ CC EAL 5+. ຊ່ອງໂຫວ່ດັ່ງກ່າວເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຂ້າມການປົກປ້ອງຢ່າງສົມບູນແລະເຂົ້າເຖິງລະຫັດທີ່ປະຕິບັດຢູ່ໃນຊິບແລະຂໍ້ມູນທີ່ເກັບໄວ້ໃນ enclave, ຂ້າມການລັອກຕົວຮັກສາຫນ້າຈໍ, ແລະຍັງເຮັດການປ່ຽນແປງກັບເຟີມແວເພື່ອສ້າງ backdoor ທີ່ເຊື່ອງໄວ້.
• ຄວາມອ່ອນແອທີ່ຖືກຄາດຄະເນຫຼາຍທີ່ສຸດ. ລາງວັນດັ່ງກ່າວໄດ້ຖືກມອບໃຫ້ Qualys ສໍາລັບການກໍານົດຊຸດຂອງ 21Nails ຊ່ອງໂຫວ່ໃນເຄື່ອງແມ່ຂ່າຍເມລ Exim, 10 ທີ່ສາມາດຖືກຂູດຮີດຈາກໄລຍະໄກ. ນັກພັດທະນາ Exim ມີຄວາມສົງໄສກ່ຽວກັບຄວາມເປັນໄປໄດ້ຂອງການຂຸດຄົ້ນບັນຫາແລະໃຊ້ເວລາຫຼາຍກວ່າ 6 ເດືອນເພື່ອພັດທະນາການແກ້ໄຂ.
• ປະຕິກິລິຍາ lamer ທີ່ສຸດຂອງຜູ້ຜະລິດ (ການຕອບສະຫນອງຂອງຜູ້ຂາຍ Lamest). ການແຕ່ງຕັ້ງສໍາລັບການຕອບສະຫນອງທີ່ບໍ່ເຫມາະສົມທີ່ສຸດຕໍ່ບົດລາຍງານຄວາມອ່ອນແອໃນຜະລິດຕະພັນຂອງຕົນເອງ. ຜູ້ຊະນະແມ່ນ Cellebrite, ບໍລິສັດທີ່ສ້າງການວິເຄາະທາງ forensic ແລະຄໍາຮ້ອງສະຫມັກຂຸດຄົ້ນຂໍ້ມູນສໍາລັບການບັງຄັບໃຊ້ກົດຫມາຍ. Cellebrite ຕອບສະໜອງຢ່າງບໍ່ເໝາະສົມກັບລາຍງານຄວາມອ່ອນແອທີ່ປະກາດໂດຍ Moxie Marlinspike, ຜູ້ຂຽນໂປໂຕຄອນ Signal. Moxxi ມີຄວາມສົນໃຈໃນ Cellebrite ຫຼັງຈາກບົດຄວາມສື່ມວນຊົນກ່ຽວກັບການສ້າງເຕັກໂນໂລຢີທີ່ອະນຸຍາດໃຫ້ການ hack ຂໍ້ຄວາມ Signal ທີ່ເຂົ້າລະຫັດ, ເຊິ່ງຕໍ່ມາໄດ້ກາຍເປັນການປອມແປງເນື່ອງຈາກການຕີຄວາມຫມາຍທີ່ບໍ່ຖືກຕ້ອງຂອງຂໍ້ມູນໃນບົດຄວາມຢູ່ໃນເວັບໄຊທ໌ Cellebrite, ເຊິ່ງຫຼັງຈາກນັ້ນໄດ້ຖືກໂຍກຍ້າຍອອກ (" ການ​ໂຈມ​ຕີ” ຕ້ອງ​ການ​ການ​ເຂົ້າ​ເຖິງ​ທາງ​ດ້ານ​ຮ່າງ​ກາຍ​ຂອງ​ໂທລະ​ສັບ​ແລະ​ຄວາມ​ສາ​ມາດ​ໃນ​ການ​ປົດ​ລັອກ​ຫນ້າ​ຈໍ​, ເຊັ່ນ​: ການ​ຫຼຸດ​ຜ່ອນ​ການ​ເບິ່ງ​ຂໍ້​ຄວາມ​ໃນ messenger​, ແຕ່​ບໍ່​ແມ່ນ​ດ້ວຍ​ຕົນ​ເອງ​, ແຕ່​ການ​ນໍາ​ໃຊ້​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ພິ​ເສດ​ທີ່​ຈໍາ​ລອງ​ການ​ປະ​ຕິ​ບັດ​ຂອງ​ຜູ້​ໃຊ້​)​.

  Moxxi ໄດ້ສຶກສາຄໍາຮ້ອງສະຫມັກ Cellebrite ແລະພົບເຫັນຊ່ອງໂຫວ່ທີ່ສໍາຄັນຢູ່ທີ່ນັ້ນທີ່ອະນຸຍາດໃຫ້ລະຫັດ arbitrary ຖືກປະຕິບັດໃນເວລາທີ່ພະຍາຍາມສະແກນຂໍ້ມູນທີ່ຖືກອອກແບບພິເສດ. ຄໍາຮ້ອງສະຫມັກ Cellebrite ຍັງຖືກພົບເຫັນວ່າກໍາລັງໃຊ້ຫ້ອງສະຫມຸດ ffmpeg ທີ່ລ້າສະໄຫມທີ່ບໍ່ໄດ້ຮັບການປັບປຸງເປັນເວລາ 9 ປີແລະມີຊ່ອງຫວ່າງຈໍານວນຫລາຍທີ່ບໍ່ໄດ້ຮັບການປັບປຸງ. ແທນທີ່ຈະຮັບຮູ້ບັນຫາແລະແກ້ໄຂບັນຫາ, Cellebrite ໄດ້ອອກຖະແຫຼງການວ່າມັນເປັນຫ່ວງເປັນໄຍກ່ຽວກັບຄວາມສົມບູນຂອງຂໍ້ມູນຜູ້ໃຊ້, ຮັກສາຄວາມປອດໄພຂອງຜະລິດຕະພັນຂອງຕົນໃນລະດັບທີ່ເຫມາະສົມ, ປ່ອຍການປັບປຸງເປັນປົກກະຕິແລະສະຫນອງຄໍາຮ້ອງສະຫມັກທີ່ດີທີ່ສຸດຂອງປະເພດຂອງຕົນ.

• ຜົນສໍາເລັດທີ່ໃຫຍ່ທີ່ສຸດ. ລາງວັນດັ່ງກ່າວໄດ້ຖືກມອບໃຫ້ Ilfak Gilfanov, ຜູ້ຂຽນຂອງ IDA disassembler ແລະ Hex-Rays decompiler, ສໍາລັບການປະກອບສ່ວນຂອງລາວໃນການພັດທະນາເຄື່ອງມືສໍາລັບນັກຄົ້ນຄວ້າດ້ານຄວາມປອດໄພແລະຄວາມສາມາດຂອງລາວໃນການຮັກສາຜະລິດຕະພັນຈົນເຖິງ 30 ປີ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru