Na conferência Black Hat USA realizada em Las Vegas a cerimônia de entrega do prêmio , durante a qual foram destacadas as vulnerabilidades mais significativas e as falhas absurdas na área de segurança cibernética. O Pwnie Awards é considerado o equivalente ao Oscar e ao Framboesa de Ouro na segurança cibernética e ocorre anualmente desde 2007.
Principais e :
- Melhor erro de servidor. É concedido pela identificação e exploração do erro mais tecnicamente desafiador e interessante em um serviço de rede. Os vencedores foram os pesquisadores que uma vulnerabilidade no provedor de VPN Pulse Secure, cujo serviço de VPN é utilizado pelo Twitter, Uber, Microsoft, Slack, SpaceX, Akamai, Intel, IBM, VMware, Marinha dos EUA, Departamento de Segurança Nacional (DHS) dos EUA e provavelmente metade das empresas da lista Fortune 500. Os pesquisadores descobriram uma porta dos fundos que permite a um atacante não autenticado alterar a senha de qualquer usuário. Foi demonstrada a possibilidade de explorar essa vulnerabilidade para obter acesso root ao servidor VPN, que só tinha a porta HTTPS aberta;
Entre os candidatos que não ganharam o prêmio, pode-se destacar:
- Explorada antes da autenticação no sistema de integração contínua Jenkins, permitindo a execução de código no servidor. A vulnerabilidade tem sido amplamente utilizada por bots para organizar mineração de criptomoeda nos servidores;
- Crítica no servidor de e-mail Exim, permitindo a execução de código no servidor com privilégios de root;
- nas câmeras IP Xiongmai XMeye P2P, permitindo o controle do dispositivo. As câmeras eram enviadas com uma senha de engenharia e não realizavam verificação de assinatura digital durante a atualização do firmware;
- Crítica na implementação do protocolo RDP no Windows, permitindo a execução remota do próprio código;
- no WordPress, relacionado ao upload de código PHP disfarçado de imagem. O problema permite a execução de código arbitrário no servidor, tendo privilégios de autor no site;
- Melhor erro em software cliente. O vencedor foi uma vulnerabilidade facilmente explorável no sistema de chamadas em grupo Apple FaceTime, permitindo que o iniciador da chamada em grupo forçasse a aceitação da chamada no lado do destinatário (por exemplo, para escuta e vigilância).
Além disso, também estavam concorrendo ao prêmio:
- no WhatsApp, permitindo a execução de seu código através do envio de uma chamada de voz especialmente formatada;
- na biblioteca gráfica Skia, utilizada no navegador Chrome, que pode levar a danos de memória devido a imprecisões em operações de ponto flutuante em algumas transformações geométricas;
- A melhor vulnerabilidade que leva a elevação de privilégios. O prêmio foi concedido por identificar no núcleo do iOS, que pode ser explorado através do ipc_voucher, acessível através do navegador Safari.
Além disso, também estavam concorrendo ao prêmio:
- no Windows, permitindo controle total sobre o sistema através da manipulação da função CreateWindowEx (win32k.sys). O problema foi identificado durante a análise de malware que explorava a vulnerabilidade antes da correção;
- no runc e LXC, afetando o Docker e outros sistemas de isolamento de contêineres, permitindo que um contêiner isolado sob controle do invasor modifique o arquivo executável runc e obtenha privilégios root no sistema host;
- no iOS (CFPrefsDaemon), permitindo contornar os modos de isolamento e executar código com privilégios de root;
- na edição da pilha TCP do Linux, utilizada no Android, permitindo a um usuário local elevar seus privilégios no dispositivo;
- no systemd-journald, permitindo obter direitos de root;
- na ferramenta tmpreaper para limpeza de /tmp, permitindo que mantendo seu arquivo em qualquer parte do sistema de arquivos;
- O melhor ataque criptográfico. Concedido por identificar as brechas mais significativas em sistemas, protocolos e algoritmos de criptografia reais. O prêmio foi concedido por identificar na tecnologia de proteção de redes sem fio WPA3 e no EAP-pwd, permitindo a reconstrução da senha de conexão e acesso à rede sem fio sem o conhecimento da senha.
Os candidatos ao prêmio também incluíram:
- ataques à criptografia PGP e S/MIME em clientes de e-mail;
- método de reinicialização a frio para acessar o conteúdo de partições criptografadas BitLocker;
- no OpenSSL, permitindo distinguir situações de recebimento de preenchimento adicional incorreto e MAC incorreto. O problema foi causado pelo tratamento inadequado de bytes nulos no preenchimento adicional (padding oracle);
- usando os cartões de identificação implementados na Alemanha, que utilizam SAML;
- com a entropia de números aleatórios na implementação do suporte a tokens U2F no ChromeOS;
- no Monocypher, devido à qual assinaturas EdDSA nulas eram consideradas válidas.
- A pesquisa mais inovadora. O prêmio foi concedido ao desenvolvedor da técnica , que utiliza instruções vetoriais AVX-512 para emular a execução de programas, permitindo um aumento significativo na velocidade dos testes de fuzzing (até 40-120 bilhões de instruções por segundo). A técnica permite que em cada núcleo da CPU sejam executadas em paralelo 8 máquinas virtuais de 64 bits ou 16 máquinas virtuais de 32 bits com instruções para testes de fuzzing de aplicativos.
Os candidatos ao prêmio foram:
- tecnologia Power Query do MS Excel, que permite a execução de código e a contorna métodos de isolamento de aplicativos ao abrir planilhas eletrônicas especialmente formatadas;
- enganar o piloto automático dos carros Tesla para provocar uma entrada na faixa de tráfego oposta;
- ingenharia reversa do chip ASICS Siemens S7-1200;
- — técnica de rastreamento do movimento dos dedos para determinar o código de desbloqueio do telefone, baseada no princípio de funcionamento do sonar — o alto-falante superior e inferior do smartphone geram vibrações inaudíveis, enquanto microfones embutidos captam-nas para análise da presença de vibrações refletidas pela mão;
- no Ghidra da NSA, ferramenta de engenharia reversa;
- — técnica para identificar o uso de códigos de funções idênticas em vários arquivos executáveis com base na análise de binários;
- método para contornar o mecanismo Intel Boot Guard para carregar firmware UEFI modificados sem verificação de assinatura digital.
- A reação mais ridícula do fornecedor (Lamest Vendor Response). Nomeação pela resposta mais inadequada a um relatório de vulnerabilidade em seu próprio produto. Os vencedores foram os desenvolvedores da carteira de criptomoedas BitFi, que proclamaram a segurança superior de seu produto, que na verdade era ilusória, e que perseguiram pesquisadores que identificaram vulnerabilidades, não pagando as recompensas prometidas por identificar problemas;
Entre os candidatos ao prêmio também estavam:
- Um pesquisador de segurança acusou o diretor da Atrient de agressão para forçá-lo a remover o relatório sobre a vulnerabilidade que ele identificou, mas o diretor nega o incidente e as câmeras de segurança não registraram a agressão;
- A empresa Zoom adiou a correção de uma falha crítica em seu sistema de conferência e só corrigiu o problema após a divulgação pública. A vulnerabilidade permitia que um atacante externo coletasse dados das câmeras web de usuários macOS ao abrir uma página especialmente formatada no navegador (o Zoom iniciava um servidor http do lado do cliente, aceitando comandos de um aplicativo local).
- Incapacidade de corrigir por mais de 10 anos c servidores de chaves criptográficas OpenPGP, justificando que o código foi escrito em uma linguagem específica, OCaml, e permanece sem manutenção.
O anúncio mais exagerado sobre uma vulnerabilidade. A premiação é concedida ao mais pomposo e amplo esclarecimento de problemas na internet e na mídia, especialmente se no final a vulnerabilidade se revela inaplicável na prática. O prêmio foi concedido à publicação Bloomberg por a descoberta de chips espiões nas placas Super Micro, que não se confirmou, e a fonte indicou totalmente .
Na categoria mencionada:
- Vulnerabilidade no libssh, que aplicações de servidor únicas (libssh é quase não utilizado para servidores), mas foi apresentada pelo NCC Group como uma vulnerabilidade que permitia atacar qualquer servidor OpenSSH.
- Ataque utilizando imagens no formato DICOM. A essência é que é possível preparar um arquivo executável para Windows que parecerá uma imagem válida no formato DICOM. Este arquivo pode ser carregado em um dispositivo médico e executado.
- Vulnerabilidade , que permite contornar o mecanismo de inicialização segura em dispositivos Cisco. A vulnerabilidade foi classificada como um problema exagerado, pois requer acesso root para o ataque, mas se o atacante já conseguiu obter acesso root, qual segurança pode ser discutida? A vulnerabilidade também venceu na categoria de problemas mais subestimados, pois permite a inserção de um backdoor permanente no Flash;
- A maior falha (Most Epic FAIL). O prêmio foi concedido à publicação Bloomberg por uma série de artigos sensacionalistas com títulos chamativos, mas fatos inventados, omissão de fontes, descendo a teorias da conspiração, usando termos como "arma cibernética", e generalizações inaceitáveis. Entre outros nomeados:
- O ataque Shadowhammer ao serviço de atualização de firmware da Asus;
- A invasão do repositório BitFi, promovido como "inviolável";
- Vazamentos de dados pessoais e acesso ao Facebook.
Fonte: opennet.ru
