Pwnie അവാർഡുകൾ 2021: ഏറ്റവും പ്രധാനപ്പെട്ട സുരക്ഷാ വീഴ്ചകളും പരാജയങ്ങളും

കമ്പ്യൂട്ടർ സുരക്ഷാ മേഖലയിലെ ഏറ്റവും പ്രധാനപ്പെട്ട കേടുപാടുകളും അസംബന്ധ പരാജയങ്ങളും എടുത്തുകാണിച്ചുകൊണ്ട് വാർഷിക Pwnie അവാർഡ് 2021-ന്റെ വിജയികളെ നിർണ്ണയിച്ചു. കംപ്യൂട്ടർ സുരക്ഷയിൽ ഓസ്‌കാറിനും ഗോൾഡൻ റാസ്‌ബെറിക്കും തുല്യമായാണ് പ്വ്നി അവാർഡുകൾ കണക്കാക്കപ്പെടുന്നത്.

പ്രധാന വിജയികൾ (മത്സരാർത്ഥികളുടെ പട്ടിക):

• മെച്ചപ്പെട്ട പ്രിവിലേജ് വർദ്ധിപ്പിക്കൽ അപകടസാധ്യത. റൂട്ട് പ്രത്യേകാവകാശങ്ങൾ നേടാൻ അനുവദിക്കുന്ന സുഡോ യൂട്ടിലിറ്റിയിലെ കേടുപാടുകൾ CVE-2021-3156 തിരിച്ചറിഞ്ഞതിനാണ് ക്വാളിസിന് വിജയം ലഭിച്ചത്. കേടുപാടുകൾ ഏകദേശം 10 വർഷമായി കോഡിൽ ഉണ്ട്, അത് തിരിച്ചറിയാൻ യൂട്ടിലിറ്റിയുടെ യുക്തിയുടെ സമഗ്രമായ വിശകലനം ആവശ്യമാണ് എന്ന വസ്തുത ശ്രദ്ധേയമാണ്.
• മികച്ച സെർവർ ബഗ്. ഒരു നെറ്റ്‌വർക്ക് സേവനത്തിലെ ഏറ്റവും സാങ്കേതികമായി സങ്കീർണ്ണവും രസകരവുമായ ബഗ് തിരിച്ചറിയുന്നതിനും ചൂഷണം ചെയ്യുന്നതിനുമുള്ള അവാർഡ്. മൈക്രോസോഫ്റ്റ് എക്സ്ചേഞ്ചിലെ ആക്രമണങ്ങളുടെ ഒരു പുതിയ വെക്റ്റർ തിരിച്ചറിഞ്ഞതിനാണ് ഈ വിജയം. ഈ ക്ലാസിലെ എല്ലാ കേടുപാടുകളെയും കുറിച്ചുള്ള വിവരങ്ങൾ പ്രസിദ്ധീകരിച്ചിട്ടില്ല, എന്നാൽ ആധികാരികത കൂടാതെ ഒരു അനിയന്ത്രിതമായ ഉപയോക്താവിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യാൻ അനുവദിക്കുന്ന അപകടസാധ്യത CVE-2021-26855 (ProxyLogon), കൂടാതെ CVE-2021-27065 എന്നിവയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഇതിനകം വെളിപ്പെടുത്തിയിട്ടുണ്ട്. അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങളുള്ള ഒരു സെർവറിൽ നിങ്ങളുടെ കോഡ് എക്സിക്യൂട്ട് ചെയ്യുന്നത് സാധ്യമാണ്.
• മികച്ച ക്രിപ്‌റ്റോഗ്രാഫിക് ആക്രമണം. യഥാർത്ഥ സിസ്റ്റങ്ങൾ, പ്രോട്ടോക്കോളുകൾ, എൻക്രിപ്ഷൻ അൽഗോരിതങ്ങൾ എന്നിവയിലെ ഏറ്റവും പ്രധാനപ്പെട്ട പിഴവുകൾ തിരിച്ചറിഞ്ഞതിനാണ് അവാർഡ്. പബ്ലിക് കീകളിൽ നിന്ന് പ്രൈവറ്റ് കീകൾ സൃഷ്ടിക്കാൻ കഴിയുന്ന എലിപ്റ്റിക് കർവ് ഡിജിറ്റൽ സിഗ്‌നേച്ചറുകൾ നടപ്പിലാക്കിയതിലെ ദുർബലത (CVE-2020-0601) എന്നതിനാണ് മൈക്രോസോഫ്റ്റിന് അവാർഡ് ലഭിച്ചത്. എച്ച്ടിടിപിഎസിനായി വ്യാജ TLS സർട്ടിഫിക്കറ്റുകളും സാങ്കൽപ്പിക ഡിജിറ്റൽ സിഗ്നേച്ചറുകളും സൃഷ്ടിക്കാൻ പ്രശ്നം അനുവദിച്ചു, അവ വിശ്വസനീയമാണെന്ന് Windows-ൽ പരിശോധിച്ചുറപ്പിച്ചു.
• ഏറ്റവും നൂതനമായ ഗവേഷണം. പ്രൊസസർ നിർദ്ദേശങ്ങൾ ഊഹക്കച്ചവടത്തിൽ നടപ്പിലാക്കുന്നതിന്റെ ഫലമായി സൈഡ്-ചാനൽ ലീക്കുകൾ ഉപയോഗിച്ച് അഡ്രസ് റാൻഡമൈസേഷൻ അധിഷ്‌ഠിത (എഎസ്‌എൽആർ) പരിരക്ഷയെ മറികടക്കുന്നതിനുള്ള ബ്ലൈൻഡ്‌സൈഡ് രീതി നിർദ്ദേശിച്ച ഗവേഷകർക്കാണ് അവാർഡ് ലഭിച്ചത്.
• ഏറ്റവും വലിയ പരാജയം (Most Epic FAIL). നിങ്ങളുടെ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്ന വിൻഡോസ് പ്രിന്റിംഗ് സിസ്റ്റത്തിലെ PrintNightmare (CVE-2021-34527) അപകടസാധ്യതയ്ക്കുള്ള മൾട്ടിപ്പിൾ-റിലീസ് ബ്രേക്ക് ഫിക്സ് ചെയ്തതിനാണ് മൈക്രോസോഫ്റ്റിന് അവാർഡ് ലഭിച്ചത്. ആദ്യം, മൈക്രോസോഫ്റ്റ് പ്രശ്നം പ്രാദേശികമായി ഫ്ലാഗ് ചെയ്തു, എന്നാൽ പിന്നീട് ആക്രമണം വിദൂരമായി നടത്താമെന്ന് കണ്ടെത്തി. തുടർന്ന് മൈക്രോസോഫ്റ്റ് നാല് തവണ അപ്‌ഡേറ്റുകൾ പ്രസിദ്ധീകരിച്ചു, എന്നാൽ ഓരോ തവണയും പരിഹരിക്കൽ ഒരു പ്രത്യേക കേസ് മാത്രം അടച്ചു, ഗവേഷകർ ആക്രമണം നടത്താൻ ഒരു പുതിയ മാർഗം കണ്ടെത്തി.
• ക്ലയന്റ് സോഫ്റ്റ്‌വെയറിലെ ഏറ്റവും മികച്ച ബഗ്. CC EAL 2020+ സെക്യൂരിറ്റി സർട്ടിഫിക്കറ്റ് ലഭിച്ച സുരക്ഷിത Samsung ക്രിപ്‌റ്റോ പ്രൊസസറുകളിലെ CVE-28341-5 അപകടസാധ്യത തിരിച്ചറിഞ്ഞ ഗവേഷകനാണ് വിജയി. പരിരക്ഷയെ പൂർണ്ണമായും മറികടക്കാനും ചിപ്പിൽ എക്സിക്യൂട്ട് ചെയ്‌ത കോഡിലേക്കും എൻക്ലേവിൽ സംഭരിച്ചിരിക്കുന്ന ഡാറ്റയിലേക്കും ആക്‌സസ് നേടാനും സ്‌ക്രീൻ സേവർ ലോക്ക് ബൈപാസ് ചെയ്യാനും മറഞ്ഞിരിക്കുന്ന ബാക്ക്‌ഡോർ സൃഷ്‌ടിക്കുന്നതിന് ഫേംവെയറിൽ മാറ്റങ്ങൾ വരുത്താനും ഈ അപകടസാധ്യത സാധ്യമാക്കി.
• ഏറ്റവും കുറച്ചുകാണുന്ന ദുർബലത. എക്‌സിം മെയിൽ സെർവറിലെ 21 നെയിൽസ് കേടുപാടുകൾ കണ്ടെത്തിയതിനാണ് ക്വാളിസിന് അവാർഡ് ലഭിച്ചത്, അതിൽ 10 എണ്ണം വിദൂരമായി ഉപയോഗപ്പെടുത്താം. എക്‌സിം ഡെവലപ്പർമാർ പ്രശ്‌നങ്ങൾ ചൂഷണം ചെയ്യാനുള്ള സാധ്യതയെക്കുറിച്ച് സംശയം പ്രകടിപ്പിക്കുകയും പരിഹാരങ്ങൾ വികസിപ്പിക്കാൻ 6 മാസത്തിലധികം ചെലവഴിക്കുകയും ചെയ്തു.
• നിർമ്മാതാവിന്റെ ഏറ്റവും ലാമർ പ്രതികരണം (Lamest Vendor Response). സ്വന്തം ഉൽപ്പന്നത്തിലെ ദുർബലതാ റിപ്പോർട്ടിന് ഏറ്റവും അനുചിതമായ പ്രതികരണത്തിനുള്ള നാമനിർദ്ദേശം. നിയമപാലകർക്കായി ഫോറൻസിക് വിശകലനവും ഡാറ്റാ മൈനിംഗ് ആപ്ലിക്കേഷനുകളും നിർമ്മിക്കുന്ന സെലിബ്രൈറ്റ് എന്ന കമ്പനിയാണ് വിജയി. സിഗ്നൽ പ്രോട്ടോക്കോളിന്റെ രചയിതാവായ മോക്‌സി മാർലിൻസ്‌പൈക്ക് പോസ്‌റ്റ് ചെയ്‌ത ഒരു ദുർബലതാ റിപ്പോർട്ടിനോട് സെലിബ്രൈറ്റ് അനുചിതമായി പ്രതികരിച്ചു. എൻക്രിപ്റ്റ് ചെയ്ത സിഗ്നൽ സന്ദേശങ്ങൾ ഹാക്കുചെയ്യാൻ അനുവദിക്കുന്ന ഒരു സാങ്കേതികവിദ്യയുടെ സൃഷ്ടിയെക്കുറിച്ചുള്ള ഒരു മാധ്യമ ലേഖനത്തിന് ശേഷമാണ് Moxxi സെലിബ്രൈറ്റിൽ താൽപ്പര്യം പ്രകടിപ്പിച്ചത്, അത് പിന്നീട് സെലിബ്രൈറ്റ് വെബ്‌സൈറ്റിലെ ഒരു ലേഖനത്തിലെ വിവരങ്ങളുടെ തെറ്റായ വ്യാഖ്യാനം കാരണം വ്യാജമാണെന്ന് തെളിഞ്ഞു, അത് പിന്നീട് നീക്കം ചെയ്തു (“ ആക്രമണം” എന്നതിന് ഫോണിലേക്ക് ഫിസിക്കൽ ആക്‌സസ്സും സ്‌ക്രീൻ അൺലോക്ക് ചെയ്യാനുള്ള കഴിവും ആവശ്യമാണ്, അതായത് മെസഞ്ചറിലെ സന്ദേശങ്ങൾ കാണുന്നതിന് ചുരുക്കി, പക്ഷേ സ്വമേധയാ അല്ല, ഉപയോക്തൃ പ്രവർത്തനങ്ങളെ അനുകരിക്കുന്ന ഒരു പ്രത്യേക ആപ്ലിക്കേഷൻ ഉപയോഗിക്കുന്നു).

  Moxxi സെലിബ്രൈറ്റ് ആപ്ലിക്കേഷനുകൾ പഠിക്കുകയും പ്രത്യേകമായി രൂപകൽപ്പന ചെയ്ത ഡാറ്റ സ്കാൻ ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ അനിയന്ത്രിതമായ കോഡ് നടപ്പിലാക്കാൻ അനുവദിക്കുന്ന ഗുരുതരമായ കേടുപാടുകൾ കണ്ടെത്തുകയും ചെയ്തു. 9 വർഷമായി അപ്‌ഡേറ്റ് ചെയ്യപ്പെടാത്ത കാലഹരണപ്പെട്ട ഒരു ffmpeg ലൈബ്രറിയും സെല്ലെബ്രൈറ്റ് ആപ്ലിക്കേഷൻ ഉപയോഗിക്കുന്നതായി കണ്ടെത്തി. പ്രശ്‌നങ്ങൾ അംഗീകരിക്കുന്നതിനും പ്രശ്‌നങ്ങൾ പരിഹരിക്കുന്നതിനുപകരം, ഉപയോക്തൃ ഡാറ്റയുടെ സമഗ്രതയെക്കുറിച്ച് ശ്രദ്ധിക്കുന്നുവെന്നും അതിന്റെ ഉൽപ്പന്നങ്ങളുടെ സുരക്ഷ ശരിയായ തലത്തിൽ പരിപാലിക്കുന്നുവെന്നും പതിവ് അപ്‌ഡേറ്റുകൾ പുറത്തിറക്കുകയും ഇത്തരത്തിലുള്ള മികച്ച ആപ്ലിക്കേഷനുകൾ നൽകുകയും ചെയ്യുന്നതായി സെലിബ്രൈറ്റ് ഒരു പ്രസ്താവന പുറത്തിറക്കി.

• ഏറ്റവും വലിയ നേട്ടം. സുരക്ഷാ ഗവേഷകർക്കുള്ള ടൂളുകൾ വികസിപ്പിക്കുന്നതിലും 30 വർഷമായി ഉൽപ്പന്നം കാലികമായി നിലനിർത്താനുള്ള അദ്ദേഹത്തിന്റെ കഴിവിനുമാണ് ഐഡിഎ ഡിസ്അസംബ്ലറിന്റെയും ഹെക്‌സ്-റേസ് ഡീകംപൈലറിന്റെയും രചയിതാവ് ഇൽഫക്ക് ഗിൽഫനോവിന് അവാർഡ് ലഭിച്ചത്.

അവലംബം: opennet.ru