ලාස් වේගාස් හි පැවති Black Hat USA සමුළුවේදී සම්මාන උළෙල , පරිගණක ආරක්ෂණ ක්ෂේත්රයේ වඩාත්ම වැදගත් දුර්වලතා සහ විකාර අසාර්ථකත්වයන් ඉස්මතු කරයි. Pwnie සම්මාන උළෙල පරිගණක ආරක්ෂණ ක්ෂේත්රයේ ඔස්කාර් සහ ගෝල්ඩන් රාස්ප්බෙරි වලට සමාන එකක් ලෙස සලකනු ලබන අතර එය 2007 සිට වාර්ෂිකව පවත්වනු ලැබේ.
ප්රධාන и :
- හොඳම සේවාදායක දෝෂය. ජාල සේවාවක ඇති තාක්ෂණික වශයෙන් වඩාත් සංකීර්ණ සහ සිත්ගන්නාසුලු දෝෂය හඳුනා ගැනීම සහ සූරාකෑම සඳහා පිරිනමනු ලැබේ. ජයග්රාහකයින් වූයේ පර්යේෂකයන් ය Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, එක්සත් ජනපද නාවික හමුදාව, එක්සත් ජනපද ස්වදේශ ආරක්ෂක දෙපාර්තමේන්තුව (DHS) සහ බොහෝ විට VPN සේවාව භාවිතා කරන VPN සැපයුම්කරු Pulse Secure හි අවදානම Fortune 500 ලැයිස්තුවෙන් සමාගම්. පර්යේෂකයන් විසින් ඕනෑම පරිශීලකයෙකුගේ මුරපදය වෙනස් කිරීමට අනවසර ප්‍රහාරකයෙකුට ඉඩ දෙන පසු දොරක් සොයාගෙන ඇත. HTTPS වරාය පමණක් විවෘතව ඇති VPN සේවාදායකයකට root ප්රවේශය ලබා ගැනීම සඳහා ගැටලුව උපයෝගී කර ගැනීමේ හැකියාව පෙන්නුම් කර ඇත;
ත්‍යාගය නොලැබුණු අපේක්ෂකයින් අතර පහත සඳහන් දෑ සටහන් කළ හැක.
- පූර්ව සත්‍යාපනය කිරීමේ අදියරේදී ක්රියාත්මක වේ ජෙන්කින්ස් අඛණ්ඩ ඒකාබද්ධ කිරීමේ පද්ධතිය තුළ, ඔබට සේවාදායකයේ කේතය ක්රියාත්මක කිරීමට ඉඩ සලසයි. සේවාදායකයන් මත ගුප්ත ව්‍යවහාර මුදල් කැණීම් සංවිධානය කිරීම සඳහා අවදානම් සක්‍රියව භාවිතා කරයි;
- විවේචනාත්මක Exim තැපැල් සේවාදායකයේ, මූල අයිතිවාසිකම් සමඟ සේවාදායකයේ කේතය ක්රියාත්මක කිරීමට ඔබට ඉඩ සලසයි;
- Xiongmai XMeye P2P IP කැමරා වල, ඔබට උපාංගය පාලනය කිරීමට ඉඩ සලසයි. කැමරාවලට ඉංජිනේරු මුරපදයක් සපයා ඇති අතර ස්ථිරාංග යාවත්කාලීන කිරීමේදී ඩිජිටල් අත්සන සත්‍යාපනය භාවිතා නොකළේය;
- විවේචනාත්මක වින්ඩෝස් හි RDP ප්‍රොටෝකෝලය ක්රියාත්මක කිරීමේදී, ඔබේ කේතය දුරස්ථව ක්රියාත්මක කිරීමට ඉඩ සලසයි;
- වර්ඩ්ප්‍රෙස් හි, රූපයක මුවාවෙන් PHP කේතය පැටවීම හා සම්බන්ධ වේ. වෙබ් අඩවියේ ප්‍රකාශන කතුවරයාගේ (කර්තෘ) වරප්‍රසාද ඇති සේවාදායකයේ අත්තනෝමතික කේතය ක්රියාත්මක කිරීමට ගැටළුව ඔබට ඉඩ සලසයි;
- හොඳම සේවාදායක මෘදුකාංග දෝෂය. ජයග්රාහකයා වූයේ භාවිතයට පහසු ය Apple FaceTime සමූහ ඇමතුම් පද්ධතිය තුළ, කණ්ඩායම් ඇමතුමක ආරම්භකයාට ඇමතුම කැඳවූ පාර්ශ්වය විසින් පිළිගැනීමට බල කිරීමට ඉඩ සලසයි (උදාහරණයක් ලෙස, සවන්දීම සහ හොරෙන් බැලීම සඳහා).
ත්‍යාගය සඳහා ද නම් කරන ලද්දේ:
- විශේෂයෙන් නිර්මාණය කරන ලද හඬ ඇමතුමක් යැවීමෙන් ඔබේ කේතය ක්රියාත්මක කිරීමට ඔබට ඉඩ සලසන WhatsApp හි;
- සමහර ජ්‍යාමිතික පරිවර්තනවල පාවෙන ලක්ෂ්‍ය දෝෂ හේතුවෙන් මතක දූෂණයට තුඩු දිය හැකි ක්‍රෝම් බ්‍රවුසරයේ භාවිතා වන ස්කියා ග්‍රැෆික් පුස්තකාලයේ;
- වරප්‍රසාද අවදානමේ හොඳම උන්නතාංශය. හඳුනාගැනීම සඳහා ජයග්රහණය ලබා දෙන ලදී සෆාරි බ්‍රවුසරය හරහා ප්‍රවේශ විය හැකි ipc_voucher හරහා ප්‍රයෝජන ගත හැකි iOS කර්නලය තුළ.
ත්‍යාගය සඳහා ද නම් කරන ලද්දේ:
- Windows හි, CreateWindowEx (win32k.sys) ශ්‍රිතය සමඟින් හැසිරවීම් හරහා පද්ධතිය මත සම්පූර්ණ පාලනය ලබා ගැනීමට ඔබට ඉඩ සලසයි. අනිෂ්ට මෘදුකාංග විශ්ලේෂණය කිරීමේදී ගැටළුව හඳුනාගෙන ඇති අතර එය නිවැරදි කිරීමට පෙර අවදානම ප්‍රයෝජනයට ගන්නා ලදී;
- Runc සහ LXC වලදී, Docker සහ අනෙකුත් බහාලුම් හුදකලා පද්ධති වලට බලපාන අතර, ප්‍රහාරකයෙකු විසින් පාලනය කරනු ලබන හුදකලා බහාලුමකට runc ක්රියාත්මක කළ හැකි ගොනුව වෙනස් කිරීමට සහ සත්කාරක පද්ධතියේ පැත්තෙන් root වරප්‍රසාද ලබා ගැනීමට ඉඩ සලසයි;
- iOS (CFPrefsDaemon) හි, හුදකලා මාතයන් මඟ හැරීමට සහ මූල අයිතිවාසිකම් සමඟ කේතය ක්රියාත්මක කිරීමට ඔබට ඉඩ සලසයි;
- Android හි භාවිතා වන Linux TCP තොගයේ සංස්කරණයේ, දේශීය පරිශීලකයෙකුට උපාංගයේ ඔවුන්ගේ වරප්‍රසාද ඉහළ නැංවීමට ඉඩ සලසයි;
- systemd-journald හි, ඔබට මූල අයිතිවාසිකම් ලබා ගැනීමට ඉඩ සලසයි;
- / tmp පිරිසිදු කිරීම සඳහා tmpreaper උපයෝගීතාව තුළ, ගොනු පද්ධතියේ ඕනෑම කොටසක ඔබේ ගොනුව සුරැකීමට ඔබට ඉඩ සලසයි;
- හොඳම ගුප්ත ලේඛන ප්රහාරය. සැබෑ පද්ධති, ප්‍රොටෝකෝල සහ සංකේතාංකන ඇල්ගොරිතමවල වඩාත්ම සැලකිය යුතු හිඩැස් හඳුනා ගැනීම සඳහා ප්‍රදානය කෙරේ. හඳුනාගැනීම සඳහා ත්‍යාගය පිරිනමන ලදී WPA3 රැහැන් රහිත ජාල ආරක්ෂණ තාක්ෂණය සහ EAP-pwd තුළ, ඔබට සම්බන්ධතා මුරපදය ප්‍රතිනිර්මාණය කිරීමට සහ මුරපදය නොදැන රැහැන් රහිත ජාලයට ප්රවේශය ලබා ගැනීමට ඉඩ සලසයි.
සම්මානය සඳහා අනෙකුත් අපේක්ෂකයින් වූයේ:
- ඊමේල් සේවාලාභීන් තුළ PGP සහ S/MIME සංකේතනයට පහර දීම;
- සංකේතාත්මක Bitlocker කොටස්වල අන්තර්ගතයට ප්රවේශය ලබා ගැනීමට සීතල ඇරඹුම් ක්රමය;
- OpenSSL හි, වැරදි පිරවුම් සහ වැරදි MAC ලැබීමේ අවස්ථා වෙන් කිරීමට ඔබට ඉඩ සලසයි. පැඩිං ඔරකල්හි ශුන්‍ය බයිට් වැරදි ලෙස හැසිරවීම නිසා ගැටළුව ඇතිවේ;
- SAML භාවිතා කරමින් ජර්මනියේ භාවිතා කරන හැඳුනුම්පත් සමඟ;
- ChromeOS හි U2F ටෝකන සඳහා සහය ක්රියාත්මක කිරීමේදී අහඹු සංඛ්යා එන්ට්රොපිය සමඟ;
- Monocypher හි, ඒ හේතුවෙන් null EdDSA අත්සන් නිවැරදි ලෙස හඳුනා ගන්නා ලදී.
- මෙතෙක් සිදු වූ වඩාත්ම නව්‍ය පර්යේෂණ. ත්‍යාගය පිරිනමනු ලැබුවේ තාක්ෂණයේ සංවර්ධකයාටය , AVX-512 දෛශික උපදෙස් භාවිතා කරමින් වැඩසටහන් ක්රියාත්මක කිරීම අනුකරණය කිරීම, නොපැහැදිලි පරීක්ෂණ වේගය සැලකිය යුතු ලෙස වැඩි කිරීමට ඉඩ සලසයි (තත්පරයට උපදෙස් බිලියන 40-120 දක්වා). මෙම තාක්ෂණය මඟින් එක් එක් CPU හරය 8 64-bit හෝ 16 32-bit අතථ්‍ය යන්ත්‍ර ක්රියාත්මක කිරීමට ඉඩ සලසයි, යෙදුමේ අපැහැදිලි පරීක්ෂණ සඳහා උපදෙස් සමඟ සමාන්තරව.
පහත සඳහන් අය සම්මානය සඳහා සුදුසුකම් ලබා ඇත.
- MS Excel වෙතින් Power Query තාක්ෂණය තුළ, විශේෂයෙන් නිර්මාණය කරන ලද පැතුරුම්පත් විවෘත කිරීමේදී කේත ක්රියාත්මක කිරීම සහ යෙදුම් හුදකලා ක්‍රම මඟ හැරීමට ඔබට ඉඩ සලසයි;
- ටෙස්ලා මෝටර් රථවල ස්වයංක්‍රීය නියමුවා රැවටීම සඳහා ඉදිරි මංතීරුවට රිය පැදවීම;
- ASICS චිප් Siemens S7-1200 හි ප්‍රතිලෝම ඉංජිනේරු;
- - සෝනාර් ක්‍රියාකාරිත්වයේ මූලධර්මය මත පදනම්ව දුරකථන අගුළු ඇරීමේ කේතය තීරණය කිරීම සඳහා ඇඟිලි චලන ලුහුබැඳීමේ තාක්ෂණය - ස්මාර්ට් ජංගම දුරකතනයේ ඉහළ සහ පහළ කථිකයන් නොඇසෙන කම්පන ජනනය කරයි, සහ ගොඩනඟන ලද මයික්‍රොෆෝන ඒවා මගින් පරාවර්තනය වන කම්පන පවතින බව විශ්ලේෂණය කරයි. අත;
- NSA හි Ghidra ප්‍රතිලෝම ඉංජිනේරු මෙවලම් කට්ටලය;
- — ද්විමය එකලස්කිරීම් විශ්ලේෂණය මත පදනම්ව ක්රියාත්මක කළ හැකි ලිපිගොනු කිහිපයක සමාන ශ්‍රිත සඳහා කේත භාවිතය තීරණය කිරීමේ තාක්ෂණය;
- ඩිජිටල් අත්සන තහවුරු කිරීමකින් තොරව වෙනස් කරන ලද UEFI ස්ථිරාංග පැටවීමට Intel Boot Guard යාන්ත්‍රණය මඟ හැරීමේ ක්‍රමයකි.
- වෙළෙන්දෙකුගේ වඩාත්ම ලාමක ප්‍රතිචාරය (Lamest Vendor ප්‍රතිචාරය). ඔබේම නිෂ්පාදනයේ අවදානමක් පිළිබඳ පණිවිඩයකට වඩාත්ම ප්‍රමාණවත් නොවන ප්‍රතිචාරයක් සඳහා නම් කිරීම. ජයග්රාහකයින් වන්නේ BitFi ක්‍රිප්ටෝ මුදල් පසුම්බියේ සංවර්ධකයින් වන අතර, ඔවුන් තම නිෂ්පාදනයේ අතිශය ආරක්ෂාව ගැන කෑගසයි, එය යථාර්ථයේ දී මනඃකල්පිත බවට පත් වූ අතර, දුර්වලතා හඳුනා ගන්නා පර්යේෂකයන්ට හිරිහැර කරන අතර ගැටළු හඳුනා ගැනීම සඳහා පොරොන්දු වූ ප්‍රසාද දීමනා නොගෙවයි;
සම්මානය සඳහා අයදුම්කරුවන් අතර ද සලකා බලන ලදී:
- ආරක්ෂක පර්යේෂකයෙක් තමා හඳුනාගත් අවදානමක් පිළිබඳ වාර්තාවක් ඉවත් කිරීමට බල කිරීම සඳහා තමාට පහර දුන් බවට Atrient හි අධ්‍යක්ෂවරයාට චෝදනා කළ නමුත් අධ්‍යක්ෂවරයා සිද්ධිය ප්‍රතික්ෂේප කරන අතර නිරීක්ෂණ කැමරාවල ප්රහාරය පටිගත නොවීය;
- විශාලනය බරපතල ගැටළුවක් විසඳීම ප්‍රමාද විය එහි සම්මන්ත්‍රණ පද්ධතිය තුළ සහ ප්‍රසිද්ධියේ හෙළිදරව් කිරීමෙන් පසුව පමණක් ගැටළුව නිවැරදි කරන ලදී. බ්‍රවුසරයේ විශේෂයෙන් නිර්මාණය කරන ලද පිටුවක් විවෘත කිරීමේදී බාහිර ප්‍රහාරකයෙකුට macOS භාවිතා කරන්නන්ගේ වෙබ් කැමරාවලින් දත්ත ලබා ගැනීමට මෙම අවදානම ඉඩ ලබා දුන්නේය (විශාලනය දේශීය යෙදුමෙන් විධාන ලබා ගත් සේවාදායකයා පැත්තෙන් http සේවාදායකයක් දියත් කළේය).
- වසර 10 කට වැඩි කාලයක් නිවැරදි කිරීමට අපොහොසත් වීම OpenPGP ගුප්ත ලේඛන යතුරු සේවාදායකයන් සමඟ, කේතය නිශ්චිත OCaml භාෂාවකින් ලියා ඇති අතර නඩත්තු කරන්නෙකු නොමැතිව පවතී.
තවමත් වඩාත්ම ප්‍රචලිත වූ අවදානම් නිවේදනය. අන්තර්ජාලයේ සහ මාධ්‍යවල ගැටලුව පිළිබඳ වඩාත්ම දුක්ඛිත සහ මහා පරිමාණ ආවරණය සඳහා සම්මානය ලබා දෙනු ලැබේ, විශේෂයෙන් අවදානම ප්‍රායෝගිකව භාවිතා කළ නොහැකි බව පෙනේ නම්. ත්‍යාගය බ්ලූම්බර්ග් වෙත පිරිනමන ලදී සුපර් ක්ෂුද්‍ර පුවරු වල ඔත්තු චිප් හඳුනා ගැනීම පිළිබඳව, එය තහවුරු කර නොමැති අතර, මූලාශ්රය සම්පූර්ණයෙන්ම දක්වා ඇත .
නාමයෝජනා පත්‍රයේ සඳහන් කර ඇත:
- libssh හි අවදානම, එනම් තනි සේවාදායක යෙදුම් (libssh සේවාදායකයන් සඳහා කිසි විටෙක භාවිතා නොවේ), නමුත් ඕනෑම OpenSSH සේවාදායකයකට පහර දීමට ඉඩ සලසන අවදානමක් ලෙස NCC සමූහය විසින් ඉදිරිපත් කරන ලදී.
- DICOM රූප භාවිතයෙන් පහර දෙන්න. කාරණය වන්නේ ඔබට වලංගු DICOM රූපයක් මෙන් පෙනෙන වින්ඩෝස් සඳහා ක්රියාත්මක කළ හැකි ගොනුවක් සකස් කළ හැකි බවයි. මෙම ගොනුව වෛද්ය උපාංගයට බාගත කර ක්රියාත්මක කළ හැක.
- අවදානම , Cisco උපාංගවල ආරක්ෂිත ඇරඹුම් යාන්ත්‍රණය මඟ හැරීමට ඔබට ඉඩ සලසයි. ප්‍රහාර එල්ල කිරීමට මූල අයිතිවාසිකම් අවශ්‍ය වන බැවින් අවදානම අධික ගැටලුවක් ලෙස වර්ගීකරණය කර ඇත, නමුත් ප්‍රහාරකයාට දැනටමත් root ප්රවේශය ලබා ගැනීමට හැකි වූයේ නම්, අපට කතා කළ හැකි ආරක්ෂාව කුමක්ද. ෆ්ලෑෂ් වෙත ස්ථිර පසුපස දොරක් හඳුන්වා දීමට එය ඔබට ඉඩ සලසන බැවින්, වඩාත් අවතක්සේරු කරන ලද ගැටළු කාණ්ඩයේ අවදානම ද දිනා ඇත;
- විශාලතම අසාර්ථකත්වය (Most Epic FAIL). මෙම ජයග්රහණය බ්ලූම්බර්ග් වෙත ප්‍රදානය කරන ලද්දේ ඝෝෂාකාරී සිරස්තල සහිත නමුත් සාදන ලද කරුණු සහිත සංවේදී ලිපි මාලාවක්, මූලාශ්‍ර යටපත් කිරීම, කුමන්ත්‍රණ න්‍යායන් වෙත බැසීම, “සයිබර් අවි” වැනි යෙදුම් භාවිතය සහ පිළිගත නොහැකි සාමාන්‍යකරණයන් සඳහා ය. අනෙකුත් නාමයෝජනා ඇතුළත් වේ:
- Asus ස්ථිරාංග යාවත්කාලීන සේවාව මත Shadowhammer ප්රහාරය;
- "නොහැකි" ලෙස ප්‍රචාරණය කරන ලද BitFi සුරක්ෂිතාගාරයක් හැක් කිරීම;
- පුද්ගලික දත්ත කාන්දුවීම් සහ ෆේස්බුක් වෙත ප්රවේශය.
මූලාශ්රය: opennet.ru