Pwnie पुरस्कार 2021: सर्वात लक्षणीय सुरक्षा भेद्यता आणि अपयश

वार्षिक Pwnie Awards 2021 च्या विजेत्यांची घोषणा करण्यात आली आहे, ज्यात संगणक सुरक्षेतील सर्वात महत्त्वाच्या असुरक्षा आणि हास्यास्पद अपयशांवर प्रकाश टाकण्यात आला आहे. Pwnie Awards हा संगणक सुरक्षा क्षेत्रातील ऑस्कर आणि गोल्डन रास्पबेरीच्या समतुल्य मानला जातो.

मुख्य विजेते (स्पर्धकांची यादी):

• विशेषाधिकार वाढवणारी सर्वोत्तम असुरक्षा. सुडो युटिलिटी मधील असुरक्षा CVE-2021-3156 ओळखल्याबद्दल Qualys ला हा विजय देण्यात आला, ज्यामुळे तुम्हाला रूट विशेषाधिकार मिळू शकतात. असुरक्षितता कोडमध्ये सुमारे 10 वर्षे होती आणि हे लक्षात घेण्यासारखे आहे की ते ओळखण्यासाठी उपयुक्ततेच्या तर्काचे सखोल विश्लेषण आवश्यक आहे.
• सर्वोत्तम सर्व्हर बग. नेटवर्क सेवेतील सर्वात तांत्रिकदृष्ट्या क्लिष्ट आणि मनोरंजक बग ओळखण्यासाठी आणि शोषण केल्याबद्दल पुरस्कृत. मायक्रोसॉफ्ट एक्स्चेंजवरील हल्ल्यांचा नवीन वेक्टर ओळखल्याबद्दल हा विजय देण्यात आला. या वर्गाच्या सर्व भेद्यतेबद्दल माहिती प्रकाशित केलेली नाही, परंतु असुरक्षा CVE-2021-26855 (प्रॉक्सीलॉगॉन) बद्दल माहिती आधीच उघड केली गेली आहे, जी तुम्हाला प्रमाणीकरणाशिवाय अनियंत्रित वापरकर्त्याचा डेटा काढण्याची परवानगी देते आणि CVE-2021-27065 , जे प्रशासक अधिकारांसह सर्व्हरवर तुमचा कोड कार्यान्वित करणे शक्य करते.
• सर्वोत्तम क्रिप्टोग्राफिक हल्ला. वास्तविक प्रणाली, प्रोटोकॉल आणि एन्क्रिप्शन अल्गोरिदममधील सर्वात लक्षणीय अंतर ओळखण्यासाठी पुरस्कृत केले जाते. लंबवर्तुळाकार वक्रांवर आधारित डिजिटल स्वाक्षरीच्या अंमलबजावणीमध्ये असुरक्षिततेसाठी (CVE-2020-0601) मायक्रोसॉफ्टला हा पुरस्कार देण्यात आला, ज्यामुळे सार्वजनिक की वर आधारित खाजगी की तयार करता येतात. HTTPS साठी बनावट TLS प्रमाणपत्रे आणि Windows द्वारे विश्वासार्ह म्हणून सत्यापित केलेल्या काल्पनिक डिजिटल स्वाक्षर्‍यांच्या निर्मितीस अनुमती देण्यात आली आहे.
• आतापर्यंतचे सर्वात नाविन्यपूर्ण संशोधन. संशोधकांना हे पारितोषिक देण्यात आले ज्यांनी सूचनांच्या सट्टा प्रोसेसरच्या अंमलबजावणीमुळे साइड-चॅनल लीकचा वापर करून पत्ता-आधारित यादृच्छिकीकरण (ASLR) संरक्षण बायपास करण्यासाठी BlindSide पद्धत प्रस्तावित केली.
• सर्वात मोठे अपयश (मोस्ट एपिक फेल). विंडोज प्रिंटिंग सिस्टीममध्ये प्रिंट नाईटमेअर व्हल्नेरेबिलिटी (CVE-2021-34527) साठी तुटलेली निराकरणे वारंवार जारी केल्याबद्दल मायक्रोसॉफ्टला हा पुरस्कार देण्यात आला ज्याने कोड कार्यान्वित करण्याची परवानगी दिली. मायक्रोसॉफ्टने सुरुवातीला समस्या स्थानिक म्हणून ध्वजांकित केली, परंतु नंतर असे दिसून आले की हल्ला दूरस्थपणे केला जाऊ शकतो. त्यानंतर मायक्रोसॉफ्टने चार वेळा अद्यतने प्रकाशित केली, परंतु प्रत्येक वेळी फिक्सने केवळ एक विशेष केस बंद केला आणि संशोधकांना हल्ला करण्याचा एक नवीन मार्ग सापडला.
• क्लायंट सॉफ्टवेअरमधील सर्वोत्तम बग. विजेता संशोधक होता ज्याने सॅमसंग सुरक्षित क्रिप्टोप्रोसेसरमध्ये CVE-2020-28341 असुरक्षितता ओळखली, ज्याला CC EAL 5+ सुरक्षा प्रमाणपत्र मिळाले. असुरक्षिततेमुळे सुरक्षिततेला पूर्णपणे बायपास करणे आणि एन्क्लेव्हमध्ये संग्रहित चिप आणि डेटावर चालणाऱ्या कोडमध्ये प्रवेश मिळवणे, स्क्रीन सेव्हर लॉकला बायपास करणे आणि लपविलेले बॅकडोअर तयार करण्यासाठी फर्मवेअरमध्ये बदल करणे शक्य झाले.
• सर्वात कमी लेखलेली भेद्यता. एक्झिम मेल सर्व्हरमधील 21 नेल्स असुरक्षिततेची मालिका ओळखल्याबद्दल क्वालिसला हा पुरस्कार प्रदान करण्यात आला, ज्यापैकी 10 दूरस्थपणे वापरल्या जाऊ शकतात. एक्झिम डेव्हलपर्सना शंका होती की समस्यांचे शोषण केले जाऊ शकते आणि निराकरण करण्यासाठी 6 महिन्यांपेक्षा जास्त वेळ घालवला जाऊ शकतो.
• Lamest विक्रेता प्रतिसाद. तुमच्या स्वतःच्या उत्पादनातील भेद्यतेबद्दलच्या संदेशाला सर्वात अपुर्‍या प्रतिसादासाठी नामांकन. विजेता Cellebrite होता, एक कंपनी जी कायद्याची अंमलबजावणी करणार्‍या एजन्सींद्वारे फॉरेन्सिक विश्लेषण आणि डेटा काढण्यासाठी अनुप्रयोग तयार करते. सिग्नल प्रोटोकॉलचे लेखक, मोक्सी मार्लिनस्पाइक यांनी पाठवलेल्या असुरक्षा अहवालाला सेलब्राइटने पुरेसा प्रतिसाद दिला नाही. एन्क्रिप्टेड सिग्नल संदेश हॅक करण्यास अनुमती देणारे तंत्रज्ञान तयार करण्याबद्दलच्या टीप मीडियामध्ये प्रकाशित झाल्यानंतर मोक्सीला सेलेब्राइटमध्ये स्वारस्य निर्माण झाले, जे नंतर सेलब्राइट वेबसाइटवरील लेखातील माहितीच्या चुकीच्या अर्थाने खोटे ठरले, जे होते. नंतर काढून टाकले (“हल्ला” ला फोनवर भौतिक प्रवेश आणि लॉक स्क्रीन काढण्याची क्षमता आवश्यक आहे, म्हणजे ते मेसेंजरमधील संदेश पाहण्यासाठी कमी केले गेले, परंतु व्यक्तिचलितपणे नाही, परंतु वापरकर्त्याच्या क्रियांचे अनुकरण करणारे विशेष अनुप्रयोग वापरून).

  Moxey ने Celebrite ऍप्लिकेशन्सचा अभ्यास केला आणि तेथे गंभीर असुरक्षा आढळल्या ज्यामुळे विशेष डिझाइन केलेला डेटा स्कॅन करण्याचा प्रयत्न करताना अनियंत्रित कोड अंमलात आणला जाऊ शकतो. Celebrite ऍप्लिकेशन कालबाह्य ffmpeg लायब्ररी वापरत असल्याचे देखील आढळून आले जे 9 वर्षांपासून अद्यतनित केले गेले नव्हते आणि त्यात मोठ्या प्रमाणात अनपॅच नसलेल्या भेद्यता आहेत. समस्या मान्य करण्याऐवजी आणि समस्यांचे निराकरण करण्याऐवजी, Celebrite ने एक विधान जारी केले की ते वापरकर्त्याच्या डेटाच्या अखंडतेची काळजी घेते, योग्य स्तरावर त्याच्या उत्पादनांची सुरक्षा राखते, नियमितपणे अद्यतने जारी करते आणि आपल्या प्रकारचे सर्वोत्तम अनुप्रयोग वितरित करते.

• सर्वात मोठी उपलब्धी. सुरक्षा संशोधकांसाठी साधनांच्या विकासासाठी आणि 30 वर्षे अद्ययावत उत्पादन राखण्याच्या त्यांच्या क्षमतेसाठी IDA डिससेम्बलर आणि Hex-Rays decompiler चे लेखक Ilfak Gilfanov यांना हा पुरस्कार प्रदान करण्यात आला.

स्त्रोत: opennet.ru