Pwnie पुरस्कार 2019: सबैभन्दा महत्त्वपूर्ण सुरक्षा कमजोरी र विफलताहरू

लस भेगासमा ब्ल्याक ह्याट युएसए सम्मेलनमा भयो पुरस्कार समारोह Pwnie पुरस्कार 2019, जसले कम्प्युटर सुरक्षाको क्षेत्रमा सबैभन्दा महत्त्वपूर्ण कमजोरीहरू र बेतुका असफलताहरूलाई हाइलाइट गर्दछ। Pwnie अवार्डहरूलाई कम्प्युटर सुरक्षाको क्षेत्रमा ओस्कार र गोल्डेन रास्पबेरीज बराबर मानिन्छ र 2007 देखि वार्षिक रूपमा आयोजना हुँदै आएको छ।

मुख्य विजेताहरू и नामांकनहरू:

• उत्तम सर्भर बग। नेटवर्क सेवामा सबैभन्दा प्राविधिक जटिल र रोचक बग पहिचान र शोषणको लागि पुरस्कृत। विजेता शोधकर्ताहरू थिए खुलासा VPN प्रदायक पल्स सेक्योरमा जोखिम, जसको VPN सेवा Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, US Navy, US Department of Homeland Security (DHS) र सम्भवतः आधाले प्रयोग गर्दछ। Fortune 500 सूचीबाट कम्पनीहरू। अन्वेषकहरूले एउटा ब्याकडोर फेला पारेका छन् जसले एक अप्रमाणित आक्रमणकारीलाई कुनै पनि प्रयोगकर्ताको पासवर्ड परिवर्तन गर्न अनुमति दिन्छ। VPN सर्भरमा रूट पहुँच प्राप्त गर्न समस्याको शोषण गर्ने सम्भावना देखाइएको छ जसमा HTTPS पोर्ट मात्र खुला छ;

  पुरस्कार प्राप्त नगर्ने उम्मेदवारहरू मध्ये, निम्न नोट गर्न सकिन्छ:

  • पूर्व-प्रमाणीकरण चरणमा संचालित कमजोरी जेनकिन्स निरन्तर एकीकरण प्रणालीमा, जसले तपाईंलाई सर्भरमा कोड कार्यान्वयन गर्न अनुमति दिन्छ। सर्भरहरूमा क्रिप्टोकरेन्सी खनन व्यवस्थित गर्न बटहरूद्वारा जोखिम सक्रिय रूपमा प्रयोग गरिन्छ;
  • क्रिटिकल कमजोरी एक्जिम मेल सर्भरमा, जसले तपाईंलाई रूट अधिकारको साथ सर्भरमा कोड कार्यान्वयन गर्न अनुमति दिन्छ;
  • कमजोरीहरु Xiongmai XMeye P2P आईपी क्यामेराहरूमा, तपाईंलाई उपकरणको नियन्त्रण लिन अनुमति दिँदै। क्यामेराहरूलाई ईन्जिनियरिङ् पासवर्डको साथ आपूर्ति गरिएको थियो र फर्मवेयर अद्यावधिक गर्दा डिजिटल हस्ताक्षर प्रमाणिकरण प्रयोग गरेनन्;
  • क्रिटिकल कमजोरी विन्डोजमा RDP प्रोटोकलको कार्यान्वयनमा, जसले तपाइँलाई तपाइँको कोड टाढाबाट कार्यान्वयन गर्न अनुमति दिन्छ;
  • कमजोरी WordPress मा, छविको आडमा PHP कोड लोड गर्न सम्बन्धित। समस्याले तपाईंलाई सर्भरमा स्वेच्छाचारी कोड कार्यान्वयन गर्न अनुमति दिन्छ, साइटमा प्रकाशनहरूको लेखक (लेखक) को विशेषाधिकारहरू भएको;
• उत्तम ग्राहक सफ्टवेयर बग। विजेता प्रयोग गर्न सजिलो थियो कमजोरी Apple FaceTime समूह कलिङ प्रणालीमा, समूह कलको प्रारम्भकर्तालाई कललाई कल स्वीकार गर्न बाध्य पार्ने पक्षलाई अनुमति दिन्छ (उदाहरणका लागि, सुन्न र स्नुपिङको लागि)।

  पुरस्कारको लागि पनि मनोनयन गरिएको थियो:

  • कमजोरी WhatsApp मा, जसले तपाईंलाई विशेष रूपमा डिजाइन गरिएको भ्वाइस कल पठाएर आफ्नो कोड कार्यान्वयन गर्न अनुमति दिन्छ;
  • कमजोरी क्रोम ब्राउजरमा प्रयोग गरिएको Skia ग्राफिक्स लाइब्रेरीमा, जसले केही ज्यामितीय रूपान्तरणहरूमा फ्लोटिंग बिन्दु त्रुटिहरूको कारण मेमोरी करप्ट हुन सक्छ;
• विशेषाधिकार जोखिमको सर्वश्रेष्ठ उचाई। पहिचानको लागि विजयलाई सम्मान गरिएको थियो कमजोरीहरू iOS कर्नेलमा, जुन ipc_voucher मार्फत प्रयोग गर्न सकिन्छ, सफारी ब्राउजर मार्फत पहुँचयोग्य।

  पुरस्कारको लागि पनि मनोनयन गरिएको थियो:

  • कमजोरी Windows मा, तपाईंलाई CreateWindowEx (win32k.sys) प्रकार्यको साथ हेरफेर मार्फत प्रणालीमा पूर्ण नियन्त्रण प्राप्त गर्न अनुमति दिन्छ। मालवेयरको विश्लेषणको क्रममा समस्या पहिचान गरिएको थियो जसले यसलाई समाधान गर्नु अघि नै जोखिमको शोषण गर्‍यो;
  • कमजोरी Runc र LXC मा, डकर र अन्य कन्टेनर आइसोलेसन प्रणालीहरूलाई असर गर्दै, आक्रमणकर्ताद्वारा नियन्त्रण गरिएको पृथक कन्टेनरलाई runc कार्यान्वयनयोग्य फाइल परिवर्तन गर्न र होस्ट प्रणाली पक्षमा रूट विशेषाधिकारहरू प्राप्त गर्न अनुमति दिँदै;
  • कमजोरी iOS (CFPrefsDaemon) मा, जसले तपाईंलाई अलगाव मोडहरू बाइपास गर्न र रूट अधिकारहरूसँग कोड कार्यान्वयन गर्न अनुमति दिन्छ;
  • कमजोरी एन्ड्रोइडमा प्रयोग गरिएको लिनक्स TCP स्ट्याकको संस्करणमा, स्थानीय प्रयोगकर्तालाई उपकरणमा आफ्ना विशेषाधिकारहरू बढाउन अनुमति दिँदै;
  • कमजोरीहरु systemd-journald मा, जसले तपाईंलाई रूट अधिकारहरू प्राप्त गर्न अनुमति दिन्छ;
  • कमजोरी सफा गर्नको लागि tmpreaper उपयोगितामा /tmp, जसले तपाईंलाई फाइल प्रणालीको कुनै पनि भागमा आफ्नो फाइल बचत गर्न अनुमति दिन्छ;
• सर्वश्रेष्ठ क्रिप्टोग्राफिक आक्रमण। वास्तविक प्रणालीहरू, प्रोटोकलहरू र एन्क्रिप्शन एल्गोरिदमहरूमा सबैभन्दा महत्त्वपूर्ण अन्तरहरू पहिचान गर्नका लागि पुरस्कृत। पहिचानको लागि पुरस्कार प्रदान गरिएको थियो कमजोरीहरू WPA3 वायरलेस नेटवर्क सुरक्षा प्रविधि र EAP-pwd मा, जसले तपाईंलाई जडान पासवर्ड पुन: सिर्जना गर्न र पासवर्ड थाहा नदिई वायरलेस नेटवर्कमा पहुँच प्राप्त गर्न अनुमति दिन्छ।

  पुरस्कारका लागि अन्य उम्मेदवारहरू थिए:

  • विधि इमेल क्लाइन्टहरूमा PGP र S/MIME इन्क्रिप्शनमा आक्रमणहरू;
  • आवेदन एन्क्रिप्टेड बिटलोकर विभाजनहरूको सामग्रीहरूमा पहुँच प्राप्त गर्न कोल्ड बुट विधि;
  • कमजोरी OpenSSL मा, जसले तपाईंलाई गलत प्याडिङ र गलत MAC प्राप्त गर्ने अवस्थाहरू छुट्याउन अनुमति दिन्छ। समस्या प्याडिङ ओरेकलमा शून्य बाइट्सको गलत ह्यान्डलिंगको कारणले भएको हो;
  • समस्याहरू SAML प्रयोग गरी जर्मनीमा प्रयोग गरिएको परिचय पत्रको साथ;
  • समस्या ChromeOS मा U2F टोकनहरूको लागि समर्थनको कार्यान्वयनमा अनियमित संख्याहरूको एन्ट्रोपीसँग;
  • कमजोरी Monocypher मा, जसको कारणले null EdDSA हस्ताक्षरहरू सही रूपमा पहिचान गरियो।
• अहिलेसम्मकै सबैभन्दा नवीन अनुसन्धान। प्रविधिको विकासकर्तालाई पुरस्कार प्रदान गरिएको थियो भेक्टराइज्ड इमुलेशन, जसले कार्यक्रम कार्यान्वयनको अनुकरण गर्न AVX-512 भेक्टर निर्देशनहरू प्रयोग गर्दछ, जसले फजिङ परीक्षण गतिमा उल्लेखनीय वृद्धि गर्न अनुमति दिन्छ (प्रति सेकेन्ड 40-120 बिलियन निर्देशनहरू सम्म)। प्रविधिले प्रत्येक CPU कोरलाई 8 64-बिट वा 16 32-बिट भर्चुअल मेसिनहरूलाई समानान्तरमा एप्लिकेसनको फजिङ परीक्षणको लागि निर्देशनहरू चलाउन अनुमति दिन्छ।

  पुरस्कारको लागि निम्न योग्य थिए:

  • कमजोरी एमएस एक्सेलबाट पावर क्वेरी टेक्नोलोजीमा, जसले तपाईंलाई विशेष रूपमा डिजाइन गरिएको स्प्रिेडसिटहरू खोल्दा कोड कार्यान्वयन र बाइपास एप्लिकेसन आइसोलेशन विधिहरू व्यवस्थित गर्न अनुमति दिन्छ;
  • विधि आउँदै गरेको लेनमा ड्राइभिङलाई उक्साउन टेस्ला कारहरूको अटोपायलटलाई धोका दिँदै;
  • काम ASICS चिप Siemens S7-1200 को रिभर्स इन्जिनियरिङ;
  • सोनार स्नूप - फोन अनलक कोड निर्धारण गर्न औंला चाल ट्र्याकिङ प्रविधि, सोनार अपरेशनको सिद्धान्तमा आधारित - स्मार्टफोनको माथिल्लो र तल्लो स्पिकरहरूले अश्रव्य कम्पनहरू उत्पन्न गर्दछ, र निर्मित माइक्रोफोनहरूले तिनीहरूलाई प्रतिबिम्बित कम्पनको उपस्थिति विश्लेषण गर्न उठाउँछन्। हात;
  • विकास NSA को Ghidra रिभर्स इन्जिनियरिङ टूलकिट;
  • सुरक्षित गर्नुहोस् - बाइनरी एसेम्बलीहरूको विश्लेषणको आधारमा धेरै कार्यान्वयनयोग्य फाइलहरूमा समान कार्यहरूको लागि कोडको प्रयोग निर्धारण गर्ने प्रविधि;
  • सिर्जना डिजिटल हस्ताक्षर प्रमाणिकरण बिना परिमार्जित UEFI फर्मवेयर लोड गर्न Intel बुट गार्ड संयन्त्रलाई बाइपास गर्ने विधि।
• एक विक्रेता बाट सबैभन्दा लंगडा प्रतिक्रिया (Lamest विक्रेता प्रतिक्रिया)। तपाईंको आफ्नै उत्पादनमा जोखिमको बारेमा सन्देशको लागि सबैभन्दा अपर्याप्त प्रतिक्रियाको लागि नामांकन। विजेताहरू BitFi क्रिप्टो वालेटका विकासकर्ताहरू हुन्, जसले तिनीहरूको उत्पादनको अति-सुरक्षाको बारेमा कराउँछन्, जुन वास्तवमा काल्पनिक साबित भयो, जोखिमहरू पहिचान गर्ने अनुसन्धानकर्ताहरूलाई सताउँछन्, र समस्याहरू पहिचान गर्न प्रतिज्ञा गरिएको बोनसहरू तिर्न सक्दैनन्;

  पुरस्कारका लागि आवेदकहरू मध्ये पनि विचार गरियो:

  • एक सुरक्षा अनुसन्धानकर्ताले एट्रिएन्टका निर्देशकलाई आफूले पहिचान गरेको कमजोरीको रिपोर्ट हटाउन बाध्य पार्न उनीमाथि आक्रमण गरेको आरोप लगाए, तर निर्देशकले घटनालाई अस्वीकार गरे र निगरानी क्यामेराहरूले आक्रमण रेकर्ड गरेनन्;
  • जूमले महत्त्वपूर्ण समस्या समाधान गर्न ढिलाइ गर्‍यो कमजोरीहरू यसको सम्मेलन प्रणालीमा र सार्वजनिक खुलासा पछि मात्र समस्या सुधार। भेद्यताले बाह्य आक्रमणकर्तालाई ब्राउजरमा विशेष रूपमा डिजाइन गरिएको पृष्ठ खोल्दा macOS प्रयोगकर्ताहरूको वेब क्यामेराबाट डाटा प्राप्त गर्न अनुमति दियो (जूमले स्थानीय अनुप्रयोगबाट आदेशहरू प्राप्त गर्ने ग्राहक पक्षमा HTTP सर्भर सुरू गर्यो)।
  • 10 वर्ष भन्दा बढीको लागि सुधार गर्न असफल समस्या ओपनपीजीपी क्रिप्टोग्राफिक कुञ्जी सर्भरहरूको साथ, कोड एक विशिष्ट OCaml भाषामा लेखिएको छ र मर्मतकर्ता बिना नै रहन्छ भन्ने तथ्यलाई उद्धृत गर्दै।

  अहिलेसम्मकै सबैभन्दा हाइप गरिएको भेद्यता घोषणा। इन्टरनेट र मिडियामा समस्याको सबैभन्दा दयनीय र ठूला-ठूला कभरेजका लागि पुरस्कृत, विशेष गरी यदि जोखिम अन्ततः व्यवहारमा अप्रयुक्त भयो भने। को लागि यो पुरस्कार ब्लूमबर्गलाई प्रदान गरिएको थियो विवरण सुपर माइक्रो बोर्डहरूमा जासूस चिपहरूको पहिचानको बारेमा, जसको पुष्टि हुन सकेन, र स्रोतले पूर्ण रूपमा संकेत गर्यो। अन्य जानकारी.

  मनोनयनमा उल्लेख छ:

  • libssh मा जोखिम, जो छोयो एकल सर्भर अनुप्रयोगहरू (libssh लगभग कहिल्यै सर्भरहरूको लागि प्रयोग गरिँदैन), तर NCC समूहद्वारा कुनै पनि OpenSSH सर्भरमा आक्रमण गर्न अनुमति दिने जोखिमको रूपमा प्रस्तुत गरिएको थियो।
  • DICOM छविहरू प्रयोग गरेर आक्रमण। बिन्दु यो हो कि तपाइँ Windows को लागी एक कार्यान्वयन योग्य फाइल तयार गर्न सक्नुहुन्छ जुन मान्य DICOM छवि जस्तो देखिन्छ। यो फाइल मेडिकल उपकरणमा डाउनलोड र कार्यान्वयन गर्न सकिन्छ।
  • कमजोरी थ्रैन्ग्रीक्याट, जसले तपाईंलाई सिस्को उपकरणहरूमा सुरक्षित बुट मेकानिजमलाई बाइपास गर्न अनुमति दिन्छ। असुरक्षालाई ओभरब्लाउन समस्याको रूपमा वर्गीकृत गरिएको छ किनभने यसलाई आक्रमण गर्न रूट अधिकारहरू चाहिन्छ, तर यदि आक्रमणकारीले पहिले नै रूट पहुँच प्राप्त गर्न सक्षम थियो भने, हामी कस्तो सुरक्षाको बारेमा कुरा गर्न सक्छौं। कमजोरीले सबैभन्दा कम अनुमानित समस्याहरूको श्रेणीमा पनि जित्यो, किनकि यसले तपाईंलाई फ्ल्याशमा स्थायी ब्याकडोर परिचय गर्न अनुमति दिन्छ;
• सबैभन्दा ठूलो असफलता (धेरै महाकाव्य असफल)। ब्लुमबर्गलाई चर्को हेडलाइनहरू तर बनेका तथ्यहरू, स्रोतहरूको दमन, षड्यन्त्र सिद्धान्तहरूमा वंशज, "साइबर हतियारहरू" जस्ता शब्दहरूको प्रयोग, र अस्वीकार्य सामान्यीकरणहरूका साथ सनसनीपूर्ण लेखहरूको श्रृंखलाको लागि ब्लूमबर्गलाई यो विजय प्रदान गरिएको थियो। अन्य उम्मेदवारहरू समावेश छन्:
  • Asus फर्मवेयर अपडेट सेवामा Shadowhammer आक्रमण;
  • "अनह्याक गर्न सकिने" को रूपमा विज्ञापित बिटफाइ भल्ट ह्याक गर्दै;
  • व्यक्तिगत डाटा लीक र टोकनहरू Facebook मा पहुँच।

स्रोत: opennet.ru