ਪਵਨੀ ਅਵਾਰਡਜ਼ 2019: ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਅਸਫਲਤਾਵਾਂ

ਲਾਸ ਵੇਗਾਸ ਵਿੱਚ ਬਲੈਕ ਹੈਟ ਯੂਐਸਏ ਕਾਨਫਰੰਸ ਵਿੱਚ ਹੋਇਆ ਪੁਰਸਕਾਰ ਸਮਾਰੋਹ ਪਵਨੀ ਅਵਾਰਡਸ 2019, ਜੋ ਕਿ ਕੰਪਿਊਟਰ ਸੁਰੱਖਿਆ ਦੇ ਖੇਤਰ ਵਿੱਚ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਬੇਤੁਕੇ ਅਸਫਲਤਾਵਾਂ ਨੂੰ ਉਜਾਗਰ ਕਰਦਾ ਹੈ। ਪਵਨੀ ਅਵਾਰਡਾਂ ਨੂੰ ਕੰਪਿਊਟਰ ਸੁਰੱਖਿਆ ਦੇ ਖੇਤਰ ਵਿੱਚ ਆਸਕਰ ਅਤੇ ਗੋਲਡਨ ਰਸਬੇਰੀ ਦੇ ਬਰਾਬਰ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ 2007 ਤੋਂ ਹਰ ਸਾਲ ਆਯੋਜਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਮੁੱਖ ਜੇਤੂ и ਨਾਮਜ਼ਦਗੀਆਂ:

• ਸਰਵੋਤਮ ਸਰਵਰ ਬੱਗ. ਇੱਕ ਨੈੱਟਵਰਕ ਸੇਵਾ ਵਿੱਚ ਸਭ ਤੋਂ ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ ਗੁੰਝਲਦਾਰ ਅਤੇ ਦਿਲਚਸਪ ਬੱਗ ਦੀ ਪਛਾਣ ਕਰਨ ਅਤੇ ਉਹਨਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਸਨਮਾਨਿਤ ਕੀਤਾ ਗਿਆ। ਜੇਤੂ ਖੋਜਕਾਰ ਸਨ ਪ੍ਰਗਟ ਕੀਤਾ VPN ਪ੍ਰਦਾਤਾ ਪਲਸ ਸਕਿਓਰ ਵਿੱਚ ਕਮਜ਼ੋਰੀ, ਜਿਸਦੀ VPN ਸੇਵਾ Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, US Navy, US Department of Homeland Security (DHS) ਅਤੇ ਸ਼ਾਇਦ ਅੱਧੇ ਦੁਆਰਾ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। Fortune 500 ਸੂਚੀ ਵਿੱਚੋਂ ਕੰਪਨੀਆਂ। ਖੋਜਕਰਤਾਵਾਂ ਨੂੰ ਇੱਕ ਬੈਕਡੋਰ ਮਿਲਿਆ ਹੈ ਜੋ ਇੱਕ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਹਮਲਾਵਰ ਨੂੰ ਕਿਸੇ ਵੀ ਉਪਭੋਗਤਾ ਦਾ ਪਾਸਵਰਡ ਬਦਲਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। VPN ਸਰਵਰ ਤੱਕ ਰੂਟ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸਮੱਸਿਆ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਜਿਸ 'ਤੇ ਸਿਰਫ਼ HTTPS ਪੋਰਟ ਖੁੱਲ੍ਹਾ ਹੈ, ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕੀਤਾ ਗਿਆ ਹੈ;

  ਇਨਾਮ ਪ੍ਰਾਪਤ ਨਾ ਕਰਨ ਵਾਲੇ ਉਮੀਦਵਾਰਾਂ ਵਿੱਚੋਂ, ਹੇਠ ਲਿਖੇ ਨੋਟ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ:

  • ਪ੍ਰੀ-ਪ੍ਰਮਾਣਿਕਤਾ ਪੜਾਅ ਵਿੱਚ ਸੰਚਾਲਿਤ ਕਮਜ਼ੋਰੀ ਜੇਨਕਿੰਸ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਸਰਵਰ ਉੱਤੇ ਕੋਡ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਸਰਵਰਾਂ 'ਤੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਮਾਈਨਿੰਗ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਬੋਟਾਂ ਦੁਆਰਾ ਕਮਜ਼ੋਰੀ ਦੀ ਸਰਗਰਮੀ ਨਾਲ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ;
  • ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਐਗਜ਼ਿਮ ਮੇਲ ਸਰਵਰ ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਰੂਟ ਅਧਿਕਾਰਾਂ ਨਾਲ ਸਰਵਰ ਉੱਤੇ ਕੋਡ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ;
  • ਕਮਜ਼ੋਰੀਆਂ Xiongmai XMeye P2P IP ਕੈਮਰਿਆਂ ਵਿੱਚ, ਤੁਹਾਨੂੰ ਡਿਵਾਈਸ ਦਾ ਨਿਯੰਤਰਣ ਲੈਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਕੈਮਰਿਆਂ ਨੂੰ ਇੱਕ ਇੰਜੀਨੀਅਰਿੰਗ ਪਾਸਵਰਡ ਨਾਲ ਸਪਲਾਈ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਫਰਮਵੇਅਰ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਵੇਲੇ ਡਿਜੀਟਲ ਦਸਤਖਤ ਤਸਦੀਕ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕੀਤੀ ਗਈ ਸੀ;
  • ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਵਿੰਡੋਜ਼ ਵਿੱਚ RDP ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਰਿਮੋਟਲੀ ਆਪਣੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
  • ਕਮਜ਼ੋਰੀ ਵਰਡਪਰੈਸ ਵਿੱਚ, ਇੱਕ ਚਿੱਤਰ ਦੀ ਆੜ ਵਿੱਚ PHP ਕੋਡ ਲੋਡ ਕਰਨ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ। ਸਮੱਸਿਆ ਤੁਹਾਨੂੰ ਸਰਵਰ 'ਤੇ ਆਪਹੁਦਰੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਸਾਈਟ 'ਤੇ ਪ੍ਰਕਾਸ਼ਨਾਂ ਦੇ ਲੇਖਕ (ਲੇਖਕ) ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ;
• ਵਧੀਆ ਕਲਾਇੰਟ ਸਾਫਟਵੇਅਰ ਬੱਗ. ਵਿਜੇਤਾ ਵਰਤੋਂ ਵਿੱਚ ਆਸਾਨ ਸੀ ਕਮਜ਼ੋਰੀ ਐਪਲ ਫੇਸਟਾਈਮ ਗਰੁੱਪ ਕਾਲਿੰਗ ਸਿਸਟਮ ਵਿੱਚ, ਇੱਕ ਸਮੂਹ ਕਾਲ ਦੀ ਸ਼ੁਰੂਆਤ ਕਰਨ ਵਾਲੇ ਨੂੰ ਕਾਲ ਕੀਤੀ ਪਾਰਟੀ ਦੁਆਰਾ ਕਾਲ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਸੁਣਨ ਅਤੇ ਸਨੂਪਿੰਗ ਲਈ)।

  ਇਨਾਮ ਲਈ ਵੀ ਨਾਮਜ਼ਦ ਕੀਤੇ ਗਏ ਸਨ:

  • ਕਮਜ਼ੋਰੀ WhatsApp ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਖਾਸ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੀ ਵੌਇਸ ਕਾਲ ਭੇਜ ਕੇ ਆਪਣੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
  • ਕਮਜ਼ੋਰੀ ਕ੍ਰੋਮ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਵਰਤੀ ਜਾਂਦੀ ਸਕੀਆ ਗ੍ਰਾਫਿਕਸ ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ, ਜੋ ਕਿ ਕੁਝ ਜਿਓਮੈਟ੍ਰਿਕ ਪਰਿਵਰਤਨ ਵਿੱਚ ਫਲੋਟਿੰਗ ਪੁਆਇੰਟ ਦੀਆਂ ਗਲਤੀਆਂ ਕਾਰਨ ਮੈਮੋਰੀ ਖਰਾਬ ਹੋ ਸਕਦੀ ਹੈ;
• ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਕਮਜ਼ੋਰੀ ਦੀ ਸਰਵੋਤਮ ਉਚਾਈ. ਦੀ ਪਛਾਣ ਲਈ ਜਿੱਤ ਨਾਲ ਸਨਮਾਨਿਤ ਕੀਤਾ ਗਿਆ ਕਮਜ਼ੋਰੀਆਂ iOS ਕਰਨਲ ਵਿੱਚ, ਜਿਸਦਾ ipc_voucher ਰਾਹੀਂ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, Safari ਬ੍ਰਾਊਜ਼ਰ ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਹੈ।

  ਇਨਾਮ ਲਈ ਵੀ ਨਾਮਜ਼ਦ ਕੀਤੇ ਗਏ ਸਨ:

  • ਕਮਜ਼ੋਰੀ ਵਿੰਡੋਜ਼ ਵਿੱਚ, ਤੁਹਾਨੂੰ CreateWindowEx (win32k.sys) ਫੰਕਸ਼ਨ ਨਾਲ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ ਸਿਸਟਮ ਉੱਤੇ ਪੂਰਾ ਨਿਯੰਤਰਣ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਸਮੱਸਿਆ ਦੀ ਪਛਾਣ ਮਾਲਵੇਅਰ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੌਰਾਨ ਕੀਤੀ ਗਈ ਸੀ ਜਿਸ ਨੇ ਇਸ ਨੂੰ ਹੱਲ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਸੀ;
  • ਕਮਜ਼ੋਰੀ Runc ਅਤੇ LXC ਵਿੱਚ, ਡੌਕਰ ਅਤੇ ਹੋਰ ਕੰਟੇਨਰ ਆਈਸੋਲੇਸ਼ਨ ਸਿਸਟਮਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੇ ਹੋਏ, ਇੱਕ ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਇੱਕ ਅਲੱਗ ਕੰਟੇਨਰ ਨੂੰ ਰੰਨਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਨੂੰ ਬਦਲਣ ਅਤੇ ਹੋਸਟ ਸਿਸਟਮ ਸਾਈਡ 'ਤੇ ਰੂਟ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
  • ਕਮਜ਼ੋਰੀ iOS (CFPrefsDaemon) ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਅਲੱਗ-ਥਲੱਗ ਮੋਡਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਅਤੇ ਰੂਟ ਅਧਿਕਾਰਾਂ ਨਾਲ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
  • ਕਮਜ਼ੋਰੀ ਐਂਡਰੌਇਡ ਵਿੱਚ ਵਰਤੇ ਗਏ ਲੀਨਕਸ ਟੀਸੀਪੀ ਸਟੈਕ ਦੇ ਐਡੀਸ਼ਨ ਵਿੱਚ, ਇੱਕ ਸਥਾਨਕ ਉਪਭੋਗਤਾ ਨੂੰ ਡਿਵਾਈਸ ਉੱਤੇ ਆਪਣੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਉੱਚਾ ਚੁੱਕਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ;
  • ਕਮਜ਼ੋਰੀਆਂ systemd-journald ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਰੂਟ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
  • ਕਮਜ਼ੋਰੀ ਸਫਾਈ /tmp ਲਈ tmpreaper ਉਪਯੋਗਤਾ ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਫਾਈਲ ਸਿਸਟਮ ਦੇ ਕਿਸੇ ਵੀ ਹਿੱਸੇ ਵਿੱਚ ਤੁਹਾਡੀ ਫਾਈਲ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਸਹਾਇਕ ਹੈ;
• ਵਧੀਆ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਹਮਲਾ. ਅਸਲ ਪ੍ਰਣਾਲੀਆਂ, ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਏਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ ਵਿੱਚ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਅੰਤਰਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਸਨਮਾਨਿਤ ਕੀਤਾ ਗਿਆ। ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਇਨਾਮ ਦਿੱਤਾ ਗਿਆ ਕਮਜ਼ੋਰੀਆਂ WPA3 ਵਾਇਰਲੈੱਸ ਨੈੱਟਵਰਕ ਸੁਰੱਖਿਆ ਤਕਨਾਲੋਜੀ ਅਤੇ EAP-pwd ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਕਨੈਕਸ਼ਨ ਪਾਸਵਰਡ ਦੁਬਾਰਾ ਬਣਾਉਣ ਅਤੇ ਪਾਸਵਰਡ ਜਾਣੇ ਬਿਨਾਂ ਵਾਇਰਲੈੱਸ ਨੈੱਟਵਰਕ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।

  ਪੁਰਸਕਾਰ ਲਈ ਹੋਰ ਉਮੀਦਵਾਰ ਸਨ:

  • .ੰਗ ਈਮੇਲ ਕਲਾਇੰਟਸ ਵਿੱਚ PGP ਅਤੇ S/MIME ਇਨਕ੍ਰਿਪਸ਼ਨ 'ਤੇ ਹਮਲੇ;
  • ਐਪਲੀਕੇਸ਼ਨ ਐਨਕ੍ਰਿਪਟਡ ਬਿਟਲਾਕਰ ਭਾਗਾਂ ਦੀ ਸਮੱਗਰੀ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਕੋਲਡ ਬੂਟ ਵਿਧੀ;
  • ਕਮਜ਼ੋਰੀ OpenSSL ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਗਲਤ ਪੈਡਿੰਗ ਅਤੇ ਗਲਤ MAC ਪ੍ਰਾਪਤ ਕਰਨ ਦੀਆਂ ਸਥਿਤੀਆਂ ਨੂੰ ਵੱਖ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਸਮੱਸਿਆ ਪੈਡਿੰਗ ਓਰੇਕਲ ਵਿੱਚ ਜ਼ੀਰੋ ਬਾਈਟਾਂ ਦੇ ਗਲਤ ਪ੍ਰਬੰਧਨ ਕਾਰਨ ਹੁੰਦੀ ਹੈ;
  • ਸਮੱਸਿਆਵਾਂ SAML ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਜਰਮਨੀ ਵਿੱਚ ਵਰਤੇ ਗਏ ID ਕਾਰਡਾਂ ਦੇ ਨਾਲ;
  • ਸਮੱਸਿਆ ChromeOS ਵਿੱਚ U2F ਟੋਕਨਾਂ ਲਈ ਸਮਰਥਨ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਬੇਤਰਤੀਬ ਸੰਖਿਆਵਾਂ ਦੀ ਐਂਟਰੌਪੀ ਦੇ ਨਾਲ;
  • ਕਮਜ਼ੋਰੀ ਮੋਨੋਸਾਈਫਰ ਵਿੱਚ, ਜਿਸ ਕਾਰਨ null EdDSA ਦਸਤਖਤਾਂ ਨੂੰ ਸਹੀ ਮੰਨਿਆ ਗਿਆ ਸੀ।
• ਹੁਣ ਤੱਕ ਦੀ ਸਭ ਤੋਂ ਨਵੀਨਤਾਕਾਰੀ ਖੋਜ। ਇਹ ਇਨਾਮ ਤਕਨਾਲੋਜੀ ਦੇ ਡਿਵੈਲਪਰ ਨੂੰ ਦਿੱਤਾ ਗਿਆ ਸੀ ਵੈਕਟਰਾਈਜ਼ਡ ਇਮੂਲੇਸ਼ਨ, ਜੋ ਕਿ ਪ੍ਰੋਗਰਾਮ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਨਕਲ ਕਰਨ ਲਈ AVX-512 ਵੈਕਟਰ ਨਿਰਦੇਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਫਜ਼ਿੰਗ ਟੈਸਟਿੰਗ ਸਪੀਡ (40-120 ਬਿਲੀਅਨ ਨਿਰਦੇਸ਼ ਪ੍ਰਤੀ ਸਕਿੰਟ ਤੱਕ) ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਵਾਧਾ ਹੁੰਦਾ ਹੈ। ਇਹ ਤਕਨੀਕ ਹਰੇਕ CPU ਕੋਰ ਨੂੰ 8 64-ਬਿੱਟ ਜਾਂ 16 32-ਬਿੱਟ ਵਰਚੁਅਲ ਮਸ਼ੀਨਾਂ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਫਜ਼ਿੰਗ ਟੈਸਟਿੰਗ ਲਈ ਨਿਰਦੇਸ਼ਾਂ ਦੇ ਸਮਾਨਾਂਤਰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।

  ਹੇਠਾਂ ਦਿੱਤੇ ਪੁਰਸਕਾਰ ਲਈ ਯੋਗ ਸਨ:

  • ਕਮਜ਼ੋਰੀ MS ਐਕਸਲ ਤੋਂ ਪਾਵਰ ਕਿਊਰੀ ਤਕਨਾਲੋਜੀ ਵਿੱਚ, ਜੋ ਤੁਹਾਨੂੰ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੀਆਂ ਸਪ੍ਰੈਡਸ਼ੀਟਾਂ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਆਈਸੋਲੇਸ਼ਨ ਵਿਧੀਆਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
  • .ੰਗ ਆਉਣ ਵਾਲੀ ਲੇਨ ਵਿੱਚ ਡਰਾਈਵਿੰਗ ਨੂੰ ਭੜਕਾਉਣ ਲਈ ਟੇਸਲਾ ਕਾਰਾਂ ਦੇ ਆਟੋਪਾਇਲਟ ਨੂੰ ਧੋਖਾ ਦੇਣਾ;
  • ਦਾ ਕੰਮ ASICS ਚਿੱਪ ਸੀਮੇਂਸ S7-1200 ਦੀ ਰਿਵਰਸ ਇੰਜੀਨੀਅਰਿੰਗ;
  • SonarSnoop - ਫੋਨ ਅਨਲੌਕ ਕੋਡ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਫਿੰਗਰ ਮੂਵਮੈਂਟ ਟ੍ਰੈਕਿੰਗ ਤਕਨੀਕ, ਸੋਨਾਰ ਓਪਰੇਸ਼ਨ ਦੇ ਸਿਧਾਂਤ ਦੇ ਆਧਾਰ 'ਤੇ - ਸਮਾਰਟਫੋਨ ਦੇ ਉੱਪਰਲੇ ਅਤੇ ਹੇਠਲੇ ਸਪੀਕਰ ਅਸੁਵਿਧਾਜਨਕ ਵਾਈਬ੍ਰੇਸ਼ਨ ਪੈਦਾ ਕਰਦੇ ਹਨ, ਅਤੇ ਬਿਲਟ-ਇਨ ਮਾਈਕ੍ਰੋਫੋਨ ਉਹਨਾਂ ਤੋਂ ਪ੍ਰਤੀਬਿੰਬਿਤ ਵਾਈਬ੍ਰੇਸ਼ਨਾਂ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਉਹਨਾਂ ਨੂੰ ਚੁੱਕਦੇ ਹਨ। ਹੱਥ;
  • ਵਿਕਾਸ NSA ਦੀ Ghidra ਰਿਵਰਸ ਇੰਜੀਨੀਅਰਿੰਗ ਟੂਲਕਿੱਟ;
  • SAFE - ਬਾਈਨਰੀ ਅਸੈਂਬਲੀਆਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਅਧਾਰ ਤੇ ਕਈ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਵਿੱਚ ਇੱਕੋ ਜਿਹੇ ਫੰਕਸ਼ਨਾਂ ਲਈ ਕੋਡ ਦੀ ਵਰਤੋਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਇੱਕ ਤਕਨੀਕ;
  • ਸ੍ਰਿਸ਼ਟੀ ਸੰਸ਼ੋਧਿਤ UEFI ਫਰਮਵੇਅਰ ਨੂੰ ਡਿਜੀਟਲ ਦਸਤਖਤ ਤਸਦੀਕ ਤੋਂ ਬਿਨਾਂ ਲੋਡ ਕਰਨ ਲਈ Intel ਬੂਟ ਗਾਰਡ ਵਿਧੀ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦਾ ਇੱਕ ਤਰੀਕਾ।
• ਇੱਕ ਵਿਕਰੇਤਾ ਤੋਂ ਸਭ ਤੋਂ ਲੰਗੜਾ ਪ੍ਰਤੀਕਰਮ (ਲੈਮਸਟ ਵੈਂਡਰ ਰਿਸਪਾਂਸ)। ਤੁਹਾਡੇ ਆਪਣੇ ਉਤਪਾਦ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਇੱਕ ਸੰਦੇਸ਼ ਲਈ ਸਭ ਤੋਂ ਅਢੁਕਵੇਂ ਜਵਾਬ ਲਈ ਨਾਮਜ਼ਦਗੀ। ਵਿਜੇਤਾ ਬਿਟਫਾਈ ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ ਦੇ ਡਿਵੈਲਪਰ ਹਨ, ਜੋ ਆਪਣੇ ਉਤਪਾਦ ਦੀ ਅਤਿ-ਸੁਰੱਖਿਆ ਬਾਰੇ ਰੌਲਾ ਪਾਉਂਦੇ ਹਨ, ਜੋ ਅਸਲ ਵਿੱਚ ਕਾਲਪਨਿਕ ਸਾਬਤ ਹੋਏ, ਖੋਜਕਰਤਾਵਾਂ ਨੂੰ ਪਰੇਸ਼ਾਨ ਕਰਦੇ ਹਨ ਜੋ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਦੇ ਹਨ, ਅਤੇ ਸਮੱਸਿਆਵਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਵਾਅਦਾ ਕੀਤੇ ਬੋਨਸ ਦਾ ਭੁਗਤਾਨ ਨਹੀਂ ਕਰਦੇ ਹਨ;

  ਅਵਾਰਡ ਲਈ ਬਿਨੈਕਾਰਾਂ ਵਿੱਚ ਵੀ ਵਿਚਾਰ ਕੀਤਾ ਗਿਆ:

  • ਇੱਕ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾ ਨੇ ਐਟ੍ਰੀਐਂਟ ਦੇ ਨਿਰਦੇਸ਼ਕ 'ਤੇ ਉਸ 'ਤੇ ਹਮਲਾ ਕਰਨ ਦਾ ਦੋਸ਼ ਲਗਾਇਆ ਤਾਂ ਜੋ ਉਸ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਰਿਪੋਰਟ ਨੂੰ ਹਟਾਉਣ ਲਈ ਉਸ ਨੂੰ ਮਜਬੂਰ ਕੀਤਾ ਜਾ ਸਕੇ, ਪਰ ਨਿਰਦੇਸ਼ਕ ਘਟਨਾ ਤੋਂ ਇਨਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਨਿਗਰਾਨੀ ਕੈਮਰਿਆਂ ਨੇ ਹਮਲੇ ਨੂੰ ਰਿਕਾਰਡ ਨਹੀਂ ਕੀਤਾ;
  • ਜ਼ੂਮ ਨੇ ਨਾਜ਼ੁਕ ਮੁੱਦੇ ਨੂੰ ਹੱਲ ਕਰਨ ਵਿੱਚ ਦੇਰੀ ਕੀਤੀ ਕਮਜ਼ੋਰੀਆਂ ਇਸਦੀ ਕਾਨਫਰੰਸਿੰਗ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਅਤੇ ਜਨਤਕ ਖੁਲਾਸੇ ਤੋਂ ਬਾਅਦ ਹੀ ਸਮੱਸਿਆ ਨੂੰ ਠੀਕ ਕੀਤਾ। ਕਮਜ਼ੋਰੀ ਨੇ ਇੱਕ ਬਾਹਰੀ ਹਮਲਾਵਰ ਨੂੰ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਪੰਨੇ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਮੈਕੋਸ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਵੈਬ ਕੈਮਰਿਆਂ ਤੋਂ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ (ਜ਼ੂਮ ਨੇ ਕਲਾਇੰਟ ਸਾਈਡ 'ਤੇ ਇੱਕ HTTP ਸਰਵਰ ਲਾਂਚ ਕੀਤਾ ਜਿਸ ਨੂੰ ਸਥਾਨਕ ਐਪਲੀਕੇਸ਼ਨ ਤੋਂ ਕਮਾਂਡਾਂ ਪ੍ਰਾਪਤ ਹੋਈਆਂ)।
  • 10 ਸਾਲਾਂ ਤੋਂ ਵੱਧ ਸਮੇਂ ਲਈ ਠੀਕ ਕਰਨ ਵਿੱਚ ਅਸਫਲਤਾ ਸਮੱਸਿਆ ਓਪਨਪੀਜੀਪੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਕੁੰਜੀ ਸਰਵਰਾਂ ਦੇ ਨਾਲ, ਇਸ ਤੱਥ ਦਾ ਹਵਾਲਾ ਦਿੰਦੇ ਹੋਏ ਕਿ ਕੋਡ ਇੱਕ ਖਾਸ OCaml ਭਾਸ਼ਾ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ ਇੱਕ ਮੇਨਟੇਨਰ ਤੋਂ ਬਿਨਾਂ ਰਹਿੰਦਾ ਹੈ।

  ਅਜੇ ਤੱਕ ਸਭ ਤੋਂ ਵੱਧ ਪ੍ਰਚਾਰਿਤ ਕਮਜ਼ੋਰੀ ਦੀ ਘੋਸ਼ਣਾ. ਇੰਟਰਨੈੱਟ ਅਤੇ ਮੀਡੀਆ 'ਤੇ ਸਮੱਸਿਆ ਦੀ ਸਭ ਤੋਂ ਤਰਸਯੋਗ ਅਤੇ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਕਵਰੇਜ ਲਈ ਸਨਮਾਨਿਤ ਕੀਤਾ ਗਿਆ, ਖਾਸ ਤੌਰ 'ਤੇ ਜੇ ਕਮਜ਼ੋਰੀ ਆਖਰਕਾਰ ਅਭਿਆਸ ਵਿੱਚ ਗੈਰ-ਲਾਭਯੋਗ ਸਾਬਤ ਹੁੰਦੀ ਹੈ। ਲਈ ਬਲੂਮਬਰਗ ਨੂੰ ਇਨਾਮ ਦਿੱਤਾ ਗਿਆ ਸੀ ਬਿਆਨ ਸੁਪਰ ਮਾਈਕਰੋ ਬੋਰਡਾਂ ਵਿੱਚ ਜਾਸੂਸੀ ਚਿਪਸ ਦੀ ਪਛਾਣ ਬਾਰੇ, ਜਿਸਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਕੀਤੀ ਗਈ ਸੀ, ਅਤੇ ਸਰੋਤ ਨੇ ਬਿਲਕੁਲ ਸੰਕੇਤ ਦਿੱਤਾ ਹੈ ਹੋਰ ਜਾਣਕਾਰੀ.

  ਨਾਮਜ਼ਦਗੀ ਵਿੱਚ ਜ਼ਿਕਰ ਕੀਤਾ ਗਿਆ ਹੈ:

  • libssh ਵਿੱਚ ਕਮਜ਼ੋਰੀ, ਜੋ 'ਤੇ ਛੂਹਿਆ ਸਿੰਗਲ ਸਰਵਰ ਐਪਲੀਕੇਸ਼ਨ (libssh ਲਗਭਗ ਕਦੇ ਵੀ ਸਰਵਰਾਂ ਲਈ ਨਹੀਂ ਵਰਤਿਆ ਜਾਂਦਾ), ਪਰ NCC ਗਰੁੱਪ ਦੁਆਰਾ ਇੱਕ ਕਮਜ਼ੋਰੀ ਵਜੋਂ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ ਜੋ ਕਿਸੇ ਵੀ OpenSSH ਸਰਵਰ 'ਤੇ ਹਮਲਾ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।
  • DICOM ਚਿੱਤਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹਮਲਾ ਕਰੋ। ਬਿੰਦੂ ਇਹ ਹੈ ਕਿ ਤੁਸੀਂ ਵਿੰਡੋਜ਼ ਲਈ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਤਿਆਰ ਕਰ ਸਕਦੇ ਹੋ ਜੋ ਇੱਕ ਵੈਧ DICOM ਚਿੱਤਰ ਵਾਂਗ ਦਿਖਾਈ ਦੇਵੇਗੀ। ਇਸ ਫਾਈਲ ਨੂੰ ਮੈਡੀਕਲ ਡਿਵਾਈਸ ਤੇ ਡਾਊਨਲੋਡ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਚਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ।
  • ਕਮਜ਼ੋਰੀ ਥ੍ਰੈਂਗਰੀਕੈਟ, ਜੋ ਤੁਹਾਨੂੰ Cisco ਡਿਵਾਈਸਾਂ 'ਤੇ ਸੁਰੱਖਿਅਤ ਬੂਟ ਵਿਧੀ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਕਮਜ਼ੋਰੀ ਨੂੰ ਇੱਕ ਬਹੁਤ ਜ਼ਿਆਦਾ ਸਮੱਸਿਆ ਵਜੋਂ ਸ਼੍ਰੇਣੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿਉਂਕਿ ਇਸ ਨੂੰ ਹਮਲਾ ਕਰਨ ਲਈ ਰੂਟ ਅਧਿਕਾਰਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਪਰ ਜੇਕਰ ਹਮਲਾਵਰ ਪਹਿਲਾਂ ਹੀ ਰੂਟ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਯੋਗ ਸੀ, ਤਾਂ ਅਸੀਂ ਕਿਸ ਸੁਰੱਖਿਆ ਬਾਰੇ ਗੱਲ ਕਰ ਸਕਦੇ ਹਾਂ। ਕਮਜ਼ੋਰੀ ਸਭ ਤੋਂ ਘੱਟ ਅਨੁਮਾਨਿਤ ਸਮੱਸਿਆਵਾਂ ਦੀ ਸ਼੍ਰੇਣੀ ਵਿੱਚ ਵੀ ਜਿੱਤ ਗਈ, ਕਿਉਂਕਿ ਇਹ ਤੁਹਾਨੂੰ ਫਲੈਸ਼ ਵਿੱਚ ਇੱਕ ਸਥਾਈ ਬੈਕਡੋਰ ਪੇਸ਼ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
• ਸਭ ਤੋਂ ਵੱਡੀ ਅਸਫਲਤਾ (ਜ਼ਿਆਦਾਤਰ ਐਪਿਕ ਫੇਲ)। ਬਲੂਮਬਰਗ ਨੂੰ ਇਹ ਜਿੱਤ ਉੱਚੀ ਸੁਰਖੀਆਂ ਵਾਲੇ ਸਨਸਨੀਖੇਜ਼ ਲੇਖਾਂ ਦੀ ਲੜੀ ਲਈ ਦਿੱਤੀ ਗਈ ਸੀ ਪਰ ਤੱਥਾਂ ਨੂੰ ਦਬਾਉਣ, ਸਰੋਤਾਂ ਨੂੰ ਦਬਾਉਣ, ਸਾਜ਼ਿਸ਼ ਦੇ ਸਿਧਾਂਤਾਂ ਵਿੱਚ ਉਤਰਨਾ, "ਸਾਈਬਰ ਹਥਿਆਰਾਂ" ਵਰਗੇ ਸ਼ਬਦਾਂ ਦੀ ਵਰਤੋਂ, ਅਤੇ ਅਸਵੀਕਾਰਨਯੋਗ ਸਾਧਾਰਨੀਕਰਨ। ਹੋਰ ਨਾਮਜ਼ਦ ਵਿਅਕਤੀਆਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:
  • Asus ਫਰਮਵੇਅਰ ਅੱਪਡੇਟ ਸੇਵਾ 'ਤੇ ਸ਼ੈਡੋਹੈਮਰ ਹਮਲਾ;
  • ਇੱਕ ਬਿਟਫਾਈ ਵਾਲਟ ਨੂੰ ਹੈਕ ਕਰਨਾ "ਅਨਹੈਕਬਲ" ਵਜੋਂ ਇਸ਼ਤਿਹਾਰ ਦਿੱਤਾ ਗਿਆ ਹੈ;
  • ਨਿੱਜੀ ਡੇਟਾ ਦੇ ਲੀਕ ਅਤੇ ਟੋਕਨ ਫੇਸਬੁੱਕ ਤੱਕ ਪਹੁੰਚ

ਸਰੋਤ: opennet.ru