Black Hat Europe бага хурлын үеэр зохион байгуулагдсан, үүлэн орчинд ашиглагддаг нээлттэй эхийн програм хангамжийн эмзэг байдлыг тодорхойлох зорилготой ZeroDay Cloud тэмцээний дүнг зарлалаа. Арга хэмжээний үеэр Redis, PostgreSQL, MariaDB болон цөмд өмнө нь мэдэгдэж байгаагүй 11 эмзэг байдлыг үзүүлэв. Linux болон Графана. Нийт зарлагдсан 4.5 сая долларын шагналын сангаас 320 долларын шагнал хүртсэн.
Тэмцээний дүрмийн дагуу оролцогчид өмнө нь мэдэгдэж байгаагүй тэг өдрийн эмзэг байдлыг ашигладаг ажиллаж буй эксплойтуудыг харуулах шаардлагатай байв. "Виртуалчлал" ангилалд эксплойтууд нь тусгаарлагдсан контейнер эсвэл виртуал машинаас гарах боломжийг олгох ёстой байсан бол бусад ангилалд кодыг алсаас гүйцэтгэхэд хүргэх ёстой байв. Хакердсан програмуудын тохиргоог GitHub дээр байршуулсан.
Үзүүлсэн халдлагууд:
- Баталгаажсан хандалтын үед алсаас код гүйцэтгэхэд хүргэсэн Redis мэдээллийн сан руу таван удаа халдлага үйлдсэн (30,000 долларын таван шагнал).
- Баталгаажсан хандалтын үед алсаас код гүйцэтгэхэд хүргэсэн PostgreSQL DBMS руу хийсэн гурван халдлага (гурван удаа $30,000 шагнал).
- MariaDB халдлагад өртөж, баталгаажуулсан хандалтаар дамжуулан кодыг алсаас гүйцэтгэсэн (гурван удаа 30,000 долларын шагнал).
- Интерфэйс рүү баталгаажсан хандалттай Grafana өгөгдлийн дүрслэлийн платформ дээр кодыг алсаас гүйцэтгэх ($10,000).
- Гол цөм рүү довтлох Linux, энэ нь тусгаарлагдсан савыг дотор нь үлдээх боломжийг олгосон Ubuntu (30,000 доллар).
- Оролцогчид хуваарилагдсан хугацаанд довтолгоог дуусгаж чадаагүй тул vLLM болон Оллама руу довтлох хоёр оролдлого амжилтгүй болсон.
Xint Code баг Redis, PostgreSQL, MariaDB руу амжилттай халдаж, 90 долларын ашиг олсон тул ялагчаар тодорсон. Xint Code баг илрүүлсэн эмзэг байдлыг Xint Code хиймэл оюун ухаан анализатор ашиглан тодорхойлсон нь анхаарал татаж байна.
NGINX хакердсаны төлөө санал болгосон хамгийн том 300 долларын шагнал, мөн Apache Tomcat, Redis, PostgreSQL, болон MariaDB-ийн баталгаажаагүй хакердсаны төлөө санал болгосон 100 долларын шагналыг аваагүй хэвээр байна. Docker, Containerd, Envoy, Caddy, NVIDIA Container Toolkit, Kubernetes API Server, Kubelet Server, Prometheus, Fluent Bit, Apache Airflow, Jenkins, болон GitLab CE хакердсаны төлөө ямар ч нэхэмжлэл хүлээн аваагүй байна.
Эмзэг байдлын мөн чанарын талаарх дэлгэрэнгүй мэдээлэл хараахан гараагүй байна. Тэмцээний нөхцөлийн дагуу тодорхойлогдсон бүх эмзэг байдлын талаарх дэлгэрэнгүй мэдээллийг нөлөөлөлд өртсөн төслүүдийн хөгжүүлэгчдэд өгсөн бөгөөд үйлдвэрлэгчид засваруудыг гаргасны дараа нийтлэх болно.
Эх сурвалж: opennet.ru
