ਪਵਨੀ ਅਵਾਰਡਜ਼ 2021: ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਅਸਫਲਤਾਵਾਂ

ਕੰਪਿਊਟਰ ਸੁਰੱਖਿਆ ਦੇ ਖੇਤਰ ਵਿੱਚ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਬੇਤੁਕੀ ਅਸਫਲਤਾਵਾਂ ਨੂੰ ਉਜਾਗਰ ਕਰਦੇ ਹੋਏ, ਸਾਲਾਨਾ ਪਵਨੀ ਅਵਾਰਡ 2021 ਦੇ ਜੇਤੂਆਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਹੈ। ਪਵਨੀ ਅਵਾਰਡਾਂ ਨੂੰ ਕੰਪਿਊਟਰ ਸੁਰੱਖਿਆ ਵਿੱਚ ਆਸਕਰ ਅਤੇ ਗੋਲਡਨ ਰਸਬੇਰੀ ਦੇ ਬਰਾਬਰ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ।

ਮੁੱਖ ਜੇਤੂ (ਦਾਵੇਦਾਰਾਂ ਦੀ ਸੂਚੀ):

• ਬਿਹਤਰ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਾਧਾ ਕਮਜ਼ੋਰੀ। ਇਹ ਜਿੱਤ ਕੁਆਲਿਸ ਨੂੰ sudo ਉਪਯੋਗਤਾ ਵਿੱਚ ਕਮਜ਼ੋਰੀ CVE-2021-3156 ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਦਿੱਤੀ ਗਈ ਸੀ, ਜੋ ਰੂਟ ਵਿਸ਼ੇਸ਼ਤਾ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਕਮਜ਼ੋਰੀ ਕੋਡ ਵਿੱਚ ਲਗਭਗ 10 ਸਾਲਾਂ ਤੋਂ ਮੌਜੂਦ ਹੈ ਅਤੇ ਇਹ ਇਸ ਤੱਥ ਲਈ ਧਿਆਨਯੋਗ ਹੈ ਕਿ ਉਪਯੋਗਤਾ ਦੇ ਤਰਕ ਦੇ ਇੱਕ ਡੂੰਘੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੀ ਲੋੜ ਸੀ ਇਸਦੀ ਪਛਾਣ ਕਰਨ ਲਈ.
• ਸਰਵੋਤਮ ਸਰਵਰ ਬੱਗ। ਇੱਕ ਨੈੱਟਵਰਕ ਸੇਵਾ ਵਿੱਚ ਸਭ ਤੋਂ ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ ਗੁੰਝਲਦਾਰ ਅਤੇ ਦਿਲਚਸਪ ਬੱਗ ਦੀ ਪਛਾਣ ਕਰਨ ਅਤੇ ਉਹਨਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ ਸਨਮਾਨਿਤ ਕੀਤਾ ਗਿਆ। ਮਾਈਕਰੋਸਾਫਟ ਐਕਸਚੇਂਜ 'ਤੇ ਹਮਲਿਆਂ ਦੇ ਨਵੇਂ ਵੈਕਟਰ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਇਹ ਜਿੱਤ ਦਿੱਤੀ ਗਈ ਸੀ। ਇਸ ਕਲਾਸ ਦੀਆਂ ਸਾਰੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਕਾਸ਼ਿਤ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ, ਪਰ ਪਹਿਲਾਂ ਹੀ ਕਮਜ਼ੋਰੀ CVE-2021-26855 (ProxyLogon) ਬਾਰੇ ਜਾਣਕਾਰੀ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ ਕਿਸੇ ਮਨਮਾਨੇ ਉਪਭੋਗਤਾ ਤੋਂ ਡੇਟਾ ਐਕਸਟਰੈਕਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਅਤੇ CVE-2021-27065, ਜੋ ਕਿ ਤੁਹਾਡੇ ਕੋਡ ਨੂੰ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰਾਂ ਵਾਲੇ ਸਰਵਰ 'ਤੇ ਚਲਾਉਣਾ ਸੰਭਵ ਹੈ।
• ਸਭ ਤੋਂ ਵਧੀਆ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਹਮਲਾ. ਅਸਲ ਪ੍ਰਣਾਲੀਆਂ, ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ ਵਿੱਚ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਖਾਮੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਸਨਮਾਨਿਤ ਕੀਤਾ ਗਿਆ। ਇਹ ਅਵਾਰਡ ਮਾਈਕ੍ਰੋਸਾੱਫਟ ਨੂੰ ਅੰਡਾਕਾਰ ਕਰਵ ਡਿਜ਼ੀਟਲ ਹਸਤਾਖਰਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਕਮਜ਼ੋਰੀ (CVE-2020-0601) ਲਈ ਦਿੱਤਾ ਗਿਆ ਸੀ ਜੋ ਜਨਤਕ ਕੁੰਜੀਆਂ ਤੋਂ ਨਿੱਜੀ ਕੁੰਜੀਆਂ ਤਿਆਰ ਕਰ ਸਕਦੇ ਹਨ। ਸਮੱਸਿਆ ਨੇ HTTPS ਅਤੇ ਫਰਜ਼ੀ ਡਿਜੀਟਲ ਦਸਤਖਤਾਂ ਲਈ ਜਾਅਲੀ TLS ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ, ਜੋ Windows ਵਿੱਚ ਭਰੋਸੇਯੋਗ ਵਜੋਂ ਪ੍ਰਮਾਣਿਤ ਸਨ।
• ਸਭ ਤੋਂ ਨਵੀਨਤਾਕਾਰੀ ਖੋਜ. ਇਹ ਪੁਰਸਕਾਰ ਉਹਨਾਂ ਖੋਜਕਰਤਾਵਾਂ ਨੂੰ ਦਿੱਤਾ ਗਿਆ ਸੀ ਜਿਨ੍ਹਾਂ ਨੇ ਪ੍ਰੋਸੈਸਰ ਦੁਆਰਾ ਨਿਰਦੇਸ਼ਾਂ ਦੇ ਅਨੁਮਾਨ ਲਗਾਉਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਸਾਈਡ-ਚੈਨਲ ਲੀਕ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਐਡਰੈੱਸ ਰੈਂਡਮਾਈਜ਼ੇਸ਼ਨ ਬੇਸਡ ਲੀਵਰੇਜ (ਏਐਸਐਲਆਰ) ਸੁਰੱਖਿਆ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਬਲਾਇੰਡਸਾਈਡ ਵਿਧੀ ਦਾ ਪ੍ਰਸਤਾਵ ਕੀਤਾ ਸੀ।
• ਸਭ ਤੋਂ ਵੱਡੀ ਅਸਫਲਤਾ (ਮੋਸਟ ਐਪਿਕ ਫੇਲ)। ਵਿੰਡੋਜ਼ ਪ੍ਰਿੰਟਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਪ੍ਰਿੰਟ ਨਾਈਟਮੇਰ (CVE-2021-34527) ਕਮਜ਼ੋਰੀ ਲਈ ਮਲਟੀਪਲ-ਰੀਲੀਜ਼ ਟੁੱਟੇ ਫਿਕਸ ਲਈ ਮਾਈਕ੍ਰੋਸਾਫਟ ਨੂੰ ਇਹ ਪੁਰਸਕਾਰ ਦਿੱਤਾ ਗਿਆ ਸੀ ਜੋ ਤੁਹਾਨੂੰ ਤੁਹਾਡੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਪਹਿਲਾਂ, ਮਾਈਕ੍ਰੋਸਾਫਟ ਨੇ ਸਮੱਸਿਆ ਨੂੰ ਸਥਾਨਕ ਵਜੋਂ ਫਲੈਗ ਕੀਤਾ, ਪਰ ਫਿਰ ਇਹ ਪਤਾ ਲੱਗਾ ਕਿ ਹਮਲਾ ਰਿਮੋਟ ਤੋਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਫਿਰ ਮਾਈਕ੍ਰੋਸਾੱਫਟ ਨੇ ਚਾਰ ਵਾਰ ਅਪਡੇਟ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤੇ, ਪਰ ਹਰ ਵਾਰ ਫਿਕਸ ਨੇ ਸਿਰਫ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਕੇਸ ਬੰਦ ਕੀਤਾ, ਅਤੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਹਮਲੇ ਨੂੰ ਅੰਜਾਮ ਦੇਣ ਦਾ ਇੱਕ ਨਵਾਂ ਤਰੀਕਾ ਲੱਭਿਆ।
• ਕਲਾਇੰਟ ਸੌਫਟਵੇਅਰ ਵਿੱਚ ਵਧੀਆ ਬੱਗ। ਜੇਤੂ ਖੋਜਕਰਤਾ ਸੀ ਜਿਸ ਨੇ ਸੁਰੱਖਿਅਤ ਸੈਮਸੰਗ ਕ੍ਰਿਪਟੋ ਪ੍ਰੋਸੈਸਰਾਂ ਵਿੱਚ CVE-2020-28341 ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਸੀ ਜਿਸ ਨੂੰ CC EAL 5+ ਸੁਰੱਖਿਆ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਾਪਤ ਹੋਇਆ ਸੀ। ਕਮਜ਼ੋਰੀ ਨੇ ਸੁਰੱਖਿਆ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਾਈਪਾਸ ਕਰਨਾ ਅਤੇ ਐਨਕਲੇਵ ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਚਿੱਪ ਅਤੇ ਡੇਟਾ 'ਤੇ ਲਾਗੂ ਕੀਤੇ ਕੋਡ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨਾ, ਸਕ੍ਰੀਨ ਸੇਵਰ ਲਾਕ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ, ਅਤੇ ਇੱਕ ਲੁਕਿਆ ਹੋਇਆ ਬੈਕਡੋਰ ਬਣਾਉਣ ਲਈ ਫਰਮਵੇਅਰ ਵਿੱਚ ਬਦਲਾਅ ਕਰਨਾ ਸੰਭਵ ਬਣਾਇਆ ਹੈ।
• ਸਭ ਤੋਂ ਘੱਟ ਅਨੁਮਾਨਿਤ ਕਮਜ਼ੋਰੀ। ਇਹ ਪੁਰਸਕਾਰ ਕੁਆਲਿਸ ਨੂੰ ਐਗਜ਼ਿਮ ਮੇਲ ਸਰਵਰ ਵਿੱਚ 21 ਨੇਲ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਇੱਕ ਲੜੀ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ 10 ਦਾ ਰਿਮੋਟ ਤੋਂ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਐਗਜ਼ਿਮ ਡਿਵੈਲਪਰ ਸਮੱਸਿਆਵਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਬਾਰੇ ਸੰਦੇਹਵਾਦੀ ਸਨ ਅਤੇ ਫਿਕਸ ਵਿਕਸਿਤ ਕਰਨ ਵਿੱਚ 6 ਮਹੀਨਿਆਂ ਤੋਂ ਵੱਧ ਸਮਾਂ ਬਿਤਾਉਂਦੇ ਸਨ।
• ਨਿਰਮਾਤਾ ਦੀ ਸਭ ਤੋਂ ਵੱਧ ਲੇਮਰ ਪ੍ਰਤੀਕਰਮ (Lamest Vendor Response). ਕਿਸੇ ਦੇ ਆਪਣੇ ਉਤਪਾਦ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦੀ ਰਿਪੋਰਟ ਲਈ ਸਭ ਤੋਂ ਅਣਉਚਿਤ ਜਵਾਬ ਲਈ ਨਾਮਜ਼ਦਗੀ। ਜੇਤੂ ਸੇਲੇਬ੍ਰਾਈਟ ਸੀ, ਇੱਕ ਕੰਪਨੀ ਜੋ ਕਾਨੂੰਨ ਲਾਗੂ ਕਰਨ ਲਈ ਫੋਰੈਂਸਿਕ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਡੇਟਾ ਮਾਈਨਿੰਗ ਐਪਲੀਕੇਸ਼ਨਾਂ ਬਣਾਉਂਦੀ ਹੈ। ਸੇਲੇਬ੍ਰਾਈਟ ਨੇ ਸਿਗਨਲ ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਲੇਖਕ, ਮੋਕਸੀ ਮਾਰਲਿਨਸਪਾਈਕ ਦੁਆਰਾ ਪੋਸਟ ਕੀਤੀ ਗਈ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦੀ ਰਿਪੋਰਟ ਦਾ ਅਣਉਚਿਤ ਜਵਾਬ ਦਿੱਤਾ. ਮੋਕਸੀ ਨੇ ਇੱਕ ਤਕਨਾਲੋਜੀ ਦੀ ਸਿਰਜਣਾ ਬਾਰੇ ਇੱਕ ਮੀਡੀਆ ਲੇਖ ਤੋਂ ਬਾਅਦ ਸੇਲੇਬ੍ਰਾਈਟ ਵਿੱਚ ਦਿਲਚਸਪੀ ਪੈਦਾ ਕੀਤੀ ਜੋ ਏਨਕ੍ਰਿਪਟਡ ਸਿਗਨਲ ਸੰਦੇਸ਼ਾਂ ਨੂੰ ਹੈਕ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜੋ ਬਾਅਦ ਵਿੱਚ ਸੇਲੇਬ੍ਰਾਈਟ ਵੈਬਸਾਈਟ 'ਤੇ ਇੱਕ ਲੇਖ ਵਿੱਚ ਜਾਣਕਾਰੀ ਦੀ ਗਲਤ ਵਿਆਖਿਆ ਦੇ ਕਾਰਨ ਜਾਅਲੀ ਸਾਬਤ ਹੋਇਆ, ਜਿਸ ਨੂੰ ਫਿਰ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ (“ ਹਮਲੇ” ਲਈ ਫੋਨ ਤੱਕ ਭੌਤਿਕ ਪਹੁੰਚ ਅਤੇ ਸਕ੍ਰੀਨ ਨੂੰ ਅਨਲੌਕ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਜਿਵੇਂ ਕਿ ਮੈਸੇਂਜਰ ਵਿੱਚ ਸੁਨੇਹਿਆਂ ਨੂੰ ਦੇਖਣ ਲਈ ਘਟਾਇਆ ਗਿਆ, ਪਰ ਹੱਥੀਂ ਨਹੀਂ, ਪਰ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਜੋ ਉਪਭੋਗਤਾ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ)।

  Moxxi ਨੇ Celebrite ਐਪਲੀਕੇਸ਼ਨਾਂ ਦਾ ਅਧਿਐਨ ਕੀਤਾ ਅਤੇ ਉੱਥੇ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀਆਂ ਲੱਭੀਆਂ ਜਿਨ੍ਹਾਂ ਨੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਸਕੈਨ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਵੇਲੇ ਮਨਮਾਨੇ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ। Celebrite ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਇੱਕ ਪੁਰਾਣੀ ffmpeg ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵੀ ਪਾਇਆ ਗਿਆ ਸੀ ਜੋ 9 ਸਾਲਾਂ ਤੋਂ ਅੱਪਡੇਟ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ ਅਤੇ ਇਸ ਵਿੱਚ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਅਣਪਛਾਤੇ ਕਮਜ਼ੋਰੀਆਂ ਹਨ। ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਅਤੇ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਹੱਲ ਕਰਨ ਦੀ ਬਜਾਏ, Celebrite ਨੇ ਇੱਕ ਬਿਆਨ ਜਾਰੀ ਕੀਤਾ ਹੈ ਕਿ ਇਹ ਉਪਭੋਗਤਾ ਡੇਟਾ ਦੀ ਇਕਸਾਰਤਾ ਦੀ ਪਰਵਾਹ ਕਰਦਾ ਹੈ, ਆਪਣੇ ਉਤਪਾਦਾਂ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਸਹੀ ਪੱਧਰ 'ਤੇ ਕਾਇਮ ਰੱਖਦਾ ਹੈ, ਨਿਯਮਤ ਅਪਡੇਟ ਜਾਰੀ ਕਰਦਾ ਹੈ ਅਤੇ ਆਪਣੀ ਕਿਸਮ ਦੇ ਸਭ ਤੋਂ ਵਧੀਆ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

• ਸਭ ਤੋਂ ਵੱਡੀ ਪ੍ਰਾਪਤੀ ਹੈ। ਇਹ ਪੁਰਸਕਾਰ IDA ਡਿਸਸੈਂਬਲਰ ਅਤੇ ਹੈਕਸ-ਰੇਜ਼ ਡੀਕੰਪਾਈਲਰ ਦੇ ਲੇਖਕ ਇਲਫਾਕ ਗਿਲਫਾਨੋਵ ਨੂੰ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਲਈ ਸਾਧਨਾਂ ਦੇ ਵਿਕਾਸ ਵਿੱਚ ਯੋਗਦਾਨ ਅਤੇ 30 ਸਾਲਾਂ ਤੱਕ ਉਤਪਾਦ ਨੂੰ ਅਪ ਟੂ ਡੇਟ ਰੱਖਣ ਦੀ ਉਸਦੀ ਯੋਗਤਾ ਲਈ ਦਿੱਤਾ ਗਿਆ ਸੀ।

ਸਰੋਤ: opennet.ru