Pwnie पुरस्कार 2021: सबैभन्दा महत्त्वपूर्ण सुरक्षा कमजोरी र विफलताहरू

वार्षिक Pwnie Awards 2021 का विजेताहरू निर्धारण गरिएको छ, कम्प्युटर सुरक्षाको क्षेत्रमा सबैभन्दा महत्त्वपूर्ण कमजोरीहरू र बेतुका असफलताहरूलाई हाइलाइट गर्दै। Pwnie अवार्डलाई कम्प्युटर सुरक्षामा ओस्कार र गोल्डेन रास्पबेरीको बराबरी मानिन्छ।

मुख्य विजेता (प्रतियोगीहरूको सूची):

• राम्रो विशेषाधिकार वृद्धि जोखिम। यो विजय Qualys लाई sudo उपयोगिता मा जोखिम CVE-2021-3156 पहिचान गर्न को लागी सम्मानित गरिएको थियो, जसले रूट विशेषाधिकारहरू प्राप्त गर्न अनुमति दिन्छ। कमजोरी लगभग 10 वर्षको लागि कोडमा अवस्थित छ र यो तथ्यको लागि उल्लेखनीय छ कि उपयोगिताको तर्कको पूर्ण विश्लेषण यसलाई पहिचान गर्न आवश्यक थियो।
• उत्तम सर्भर बग। नेटवर्क सेवामा सबैभन्दा प्राविधिक जटिल र रोचक बग पहिचान र शोषणको लागि पुरस्कृत। माइक्रोसफ्ट एक्सचेन्जमा आक्रमणको नयाँ भेक्टर पहिचान गरेकोमा यो विजयलाई सम्मान गरिएको थियो। यस वर्गका सबै कमजोरीहरूको बारेमा जानकारी प्रकाशित गरिएको छैन, तर जोखिम CVE-2021-26855 (ProxyLogon) को बारेमा जानकारी पहिले नै खुलासा गरिएको छ, जसले प्रमाणीकरण बिना एक स्वैच्छिक प्रयोगकर्ताबाट डाटा निकाल्न अनुमति दिन्छ, र CVE-2021-27065, जसले तपाइँको कोड प्रशासक अधिकार संग सर्भर मा कार्यान्वयन गर्न सम्भव छ।
• सबै भन्दा राम्रो क्रिप्टोग्राफिक आक्रमण। वास्तविक प्रणालीहरू, प्रोटोकलहरू, र एन्क्रिप्शन एल्गोरिदमहरूमा सबैभन्दा महत्त्वपूर्ण त्रुटिहरू पहिचान गर्नका लागि पुरस्कृत। सार्वजनिक कुञ्जीहरूबाट निजी कुञ्जीहरू उत्पन्न गर्न सक्ने अण्डाकार कर्भ डिजिटल हस्ताक्षरहरूको कार्यान्वयनमा कमजोरी (CVE-2020-0601) को लागि माइक्रोसफ्टलाई पुरस्कार प्रदान गरिएको थियो। समस्याले HTTPS र काल्पनिक डिजिटल हस्ताक्षरहरूको लागि नक्कली TLS प्रमाणपत्रहरू सिर्जना गर्न अनुमति दियो, जुन Windows मा विश्वसनीय रूपमा प्रमाणित गरिएको थियो।
• सबैभन्दा अभिनव अनुसन्धान। प्रोसेसरद्वारा निर्देशनहरूको सट्टा कार्यान्वयनको परिणामस्वरूप साइड-च्यानल लीकहरू प्रयोग गरेर ठेगाना अनियमितता-आधारित (एएसएलआर) सुरक्षालाई बाइपास गर्न ब्लाइन्डसाइड विधि प्रस्ताव गर्ने अनुसन्धानकर्ताहरूलाई पुरस्कार प्रदान गरिएको थियो।
• सबैभन्दा ठूलो असफलता (सबैभन्दा महाकाव्य असफल)। यो अवार्ड माइक्रोसफ्टलाई प्रिन्ट नाइटमेयर (CVE-2021-34527) विन्डोज प्रिन्टिङ प्रणालीको कमजोरीका लागि बहु-रिलीज ब्रेक फिक्सको लागि दिइएको थियो जसले तपाईंलाई आफ्नो कोड कार्यान्वयन गर्न अनुमति दिन्छ। सुरुमा, माइक्रोसफ्टले समस्यालाई स्थानीय रूपमा फ्ल्याग गर्यो, तर त्यसपछि यो पत्ता लाग्यो कि आक्रमण टाढाबाट गर्न सकिन्छ। त्यसपछि माइक्रोसफ्टले चार पटक अद्यावधिकहरू प्रकाशित गर्यो, तर प्रत्येक पटक फिक्सले केवल एक विशेष केस बन्द गर्यो, र अनुसन्धानकर्ताहरूले आक्रमण गर्न नयाँ तरिका फेला पारे।
• ग्राहक सफ्टवेयर मा सबै भन्दा राम्रो बग। विजेता शोधकर्ता थिए जसले CC EAL 2020+ सुरक्षा प्रमाणपत्र प्राप्त सुरक्षित Samsung क्रिप्टो प्रोसेसरहरूमा CVE-28341-5 जोखिम पहिचान गरे। जोखिमले सुरक्षालाई पूर्ण रूपमा बाइपास गर्न र एन्क्लेभमा भण्डारण गरिएको चिप र डेटामा कार्यान्वयन गरिएको कोडमा पहुँच प्राप्त गर्न, स्क्रिन सेभर लकलाई बाइपास गर्न र लुकेको ब्याकडोर सिर्जना गर्न फर्मवेयरमा परिवर्तनहरू गर्न सम्भव बनायो।
• सबैभन्दा कम अनुमानित जोखिम। Qualys लाई एक्जिम मेल सर्भरमा 21Nails कमजोरीहरूको शृङ्खला पहिचान गर्नका लागि पुरस्कार दिइएको थियो, जसमध्ये 10 वटा टाढाबाट प्रयोग गर्न सकिन्छ। एक्जिम विकासकर्ताहरूले समस्याहरूको शोषण गर्ने सम्भावनाको बारेमा शंका गरे र समाधानहरू विकास गर्न 6 महिना भन्दा बढी समय बिताए।
• निर्माताको सबैभन्दा लामर प्रतिक्रिया (Lamest विक्रेता प्रतिक्रिया)। आफ्नै उत्पादनमा भेद्यता रिपोर्टको लागि सबैभन्दा अनुपयुक्त प्रतिक्रियाको लागि नामांकन। विजेता Cellebrite थियो, एक कम्पनी जसले कानून प्रवर्तनको लागि फोरेंसिक विश्लेषण र डाटा माइनिङ अनुप्रयोगहरू निर्माण गर्दछ। सेलब्राइटले सिग्नल प्रोटोकलका लेखक मोक्सी मार्लिन्सस्पाइकले पोस्ट गरेको कमजोरी रिपोर्टलाई अनुपयुक्त रूपमा प्रतिक्रिया दियो। एन्क्रिप्टेड सिग्नल सन्देशहरू ह्याक गर्न अनुमति दिने टेक्नोलोजीको सिर्जनाको बारेमा मिडिया लेख पछि मोक्सीले सेलेब्राइटमा चासो देखायो, जुन पछि हटाइएको सेलेब्राइट वेबसाइटको लेखमा जानकारीको गलत व्याख्याको कारण नक्कली सावित भयो। आक्रमण" लाई फोनमा भौतिक पहुँच र स्क्रिन अनलक गर्ने क्षमता चाहिन्छ, अर्थात् मेसेन्जरमा सन्देशहरू हेर्नको लागि घटाइयो, तर म्यानुअल रूपमा होइन, तर प्रयोगकर्ताका कार्यहरूको अनुकरण गर्ने विशेष अनुप्रयोग प्रयोग गरेर)।

  Moxxi ले Celebrite अनुप्रयोगहरू अध्ययन गर्यो र त्यहाँ महत्वपूर्ण कमजोरीहरू फेला पार्यो जसले विशेष रूपमा डिजाइन गरिएको डाटा स्क्यान गर्ने प्रयास गर्दा मनमानी कोडहरू कार्यान्वयन गर्न अनुमति दिन्छ। Cellebrite अनुप्रयोगले पुरानो ffmpeg पुस्तकालय प्रयोग गरिरहेको पनि फेला परेको थियो जुन 9 वर्षदेखि अद्यावधिक गरिएको छैन र ठूलो संख्यामा नप्याच गरिएका कमजोरीहरू समावेश छन्। समस्याहरू स्वीकार गर्नुको सट्टा र समस्याहरू समाधान गर्नुको सट्टा, Celebrite ले प्रयोगकर्ता डेटाको अखण्डताको ख्याल राख्छ, उचित स्तरमा आफ्ना उत्पादनहरूको सुरक्षा कायम गर्दछ, नियमित अपडेटहरू जारी गर्दछ र आफ्नो प्रकारको उत्कृष्ट अनुप्रयोगहरू डेलिभर गर्दछ।

• सबैभन्दा ठूलो उपलब्धि हो। सुरक्षा अनुसन्धानकर्ताहरूका लागि उपकरणहरूको विकासमा योगदान पुर्‍याएको र उत्पादनलाई ३० वर्षसम्म अद्यावधिक राख्ने क्षमताको लागि IDA डिसेम्बलर र हेक्स-रेज डिकम्पाइलरका लेखक इल्फाक गिल्फानोभलाई यो पुरस्कार प्रदान गरिएको थियो।

स्रोत: opennet.ru