Na nedávnej konferencii Black Hat USA v Las Vegas ceremónia odovzdávania cien , v rámci ktorej boli ocenené najvýznamnejšie zraniteľnosti a absurdné zlyhania v oblasti počítačovej bezpečnosti. Pwnie Awards sa považuje za ekvivalent Oscara a Zlatej maliny v oblasti počítačovej bezpečnosti a koná sa každoročne od roku 2007.
Hlavné a :
- Najlepšia serverová chyba. Udeľuje sa za objavenie a zneužitie najtechnicky zložitej a zaujímavej chyby v sieťovej službe. Víťazmi sa stali výskumníci, zraniteľnosť u VPN poskytovateľa Pulse Secure, ktorého VPN služba sa používa vo firmách ako Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, v námorných silách USA, Ministerstve národnej bezpečnosti USA a pravdepodobne v polovici spoločností zo zoznamu Fortune 500. Výskumníci objavili zadný vstup, ktorý umožňuje neautentifikovanému útočníkovi zmeniť heslo akéhokoľvek používateľa. Demonštrovaná bola možnosť zneužitia problému na získanie root prístupu k serveru VPN, ktorý má otvorený iba port HTTPS;
Z neocenených nominantov možno spomenúť:
- Zraniteľnosť na úrovni pred autentifikáciou v systéme nepretržitej integrácie Jenkins, ktorá umožňuje vykonávať kód na serveri. Zraniteľnosť sa aktívne zneužíva botmi na organizovanie ťažby kryptomeny na serveroch;
- Kritická zraniteľnosť v poštovom serveri Exim, ktorá umožňuje vykonávať kód na serveri s právami root;
- v IP kamerách Xiongmai XMeye P2P, ktoré umožňujú prevziať kontrolu nad zariadením. Kamery boli dodávané s inžinierskym heslom a pri aktualizácii firmvéru nepoužívali kontrolu digitálnym podpisom;
- Kritická v implementácii protokolu RDP vo Windows, ktorá umožňuje vzdialene vykonávať svoj kód;
- v WordPress, nakolko nahrávanie PHP kódu pod zámienkou obrázku. Problém umožňuje vykonávať ľubovoľný kód na serveri s právami autora publikácií (Author) na stránke;
- Najlepšia chyba v klientskom softvéri. Víťazom sa stala ľahko zneužiteľná v systéme skupinových hovorov Apple FaceTime, ktorá umožňuje iniciátorovi skupinového hovoru nútene prijať hovor na strane volaného účastníka (napríklad na odpočúvanie a špehovanie).
Na získanie ceny tiež kandidovali:
- v aplikácii WhatsApp, ktorá umožňuje vykonanie svojho kódu prostredníctvom špeciálne spracovaného hlasového hovoru;
- v grafickej knižnici Skia, používané v prehliadači Chrome, ktorá môže spôsobiť poškodenie pamäte kvôli chybám vo vykonávaní operácií s plávajúcou čiarkou pri niektorých geometrických transformáciách;
- Najlepšia zraniteľnosť, vedúca k zvýšeniu oprávnení. Víťazstvo bolo udelené za odhalenie v jadre iOS, ktorú je možné zneužiť cez ipc_voucher, dostupné na prístup prostredníctvom prehliadača Safari.
Na získanie ceny tiež kandidovali:
- v systéme Windows, umožňujúca získať úplnú kontrolu nad systémom manipuláciou s funkciou CreateWindowEx (win32k.sys). Problém bol odhalený počas analýzy škodlivého softvéru, ktorý zneužíval zraniteľnosť pred jej opravou;
- v runc a LXC, ovplyvňujúca Docker a ďalšie systémy kontajnerovej izolácie, ktorá umožňuje z pod kontrolovaného zločinca izolovaného kontajnera zmeniť spustiteľný súbor runc a získať root oprávnenia na strane hostiteľského systému;
- v iOS (CFPrefsDaemon), ktorá umožňuje obísť izolačné režimy a vykonať kód s oprávneniami root;
- v revízii TCP zásobníka Linux, používaného v Androide, umožňujúca lokálnemu užívateľovi zvýšiť svoje oprávnenia na zariadení;
- v systemd-journald, umožňujúce získať práva root;
- v utilite tmpreaper pre čistenie /tmp, umožňujúca uchovať svoj súbor v akejkoľvek časti FS;
- Najlepšia kryptografická útok. Prezentuje sa za odhalenie najvýznamnejších nedostatkov v reálnych systémoch, protokoloch a šifrovacích algoritmoch. Cena bola udelená za odhalenie v technológii ochrany bezdrôtových sietí WPA3 a v EAP-pwd, umožňujúce zrekonštruovať prístupové heslo a získať prístup k bezdrôtovej sieti bez jeho znalosti.
Kandidátmi na získanie ceny boli tiež:
- útoky na šifrovanie PGP a S/MIME v e-mailových klientoch;
- metódy studeného reštartu na získanie prístupu k obsahu šifrovaných oddielov BitLocker;
- v OpenSSL, ktorá umožňuje oddeliť situácie získania nesprávneho doplnenia a nesprávneho MAC. Problém je spôsobený nesprávnym spracovaním nulových bajtov v doplnení (padding oracle);
- s kartami identifikácie používanými v Nemecku, ktoré využívajú SAML;
- s entropiou náhodných čísiel v implementácii podpory tokenov U2F v ChromeOS;
- v Monocypher, kvôli ktorému boli uznané platné nulové podpisy EdDSA.
- Najviac inovatívny výskum. Cena bola udelená vývojárovi techniky , ktorá používa vektorové inštrukcie AVX-512 na emuláciu vykonávania programov, pričom umožňuje dosiahnuť podstatné zvýšenie rýchlosti fuzzingového testovania (až 40-120 miliárd inštrukcií za sekundu). Technika umožňuje súčasné vykonávanie 8 64-bitových alebo 16 32-bitových virtuálnych strojov s inštrukciami na fuzzingové testovanie aplikácie na každom CPU jadre.
Na cenu boli nominovaní:
- v technológii Power Query z MS Excel, ktorá umožňuje organizovať vykonávanie kódu a obchádzať metódy izolácie aplikácií pri otváraní špeciálne naformátovaných elektronických tabuliek;
- podvod autopilota automobilov Tesla na vyprovokovanie jazdy do protismeru;
- na reverznom inžinierstve čipu Siemens S7-1200;
- — technika sledovania pohybu prstov na určenie kódu odomknutia telefónu, založená na princípe sonarového snímania — horný a dolný reproduktor smartfónu generujú nepočuteľné vibrácie a zabudované mikrofóny ich zachytávajú na analýzu prítomnosti odrazov od ruky;
- v NSA nástroja na reverzné inžinierstvo Ghidra;
- — technika na určenie používania kódu rovnakých funkcií v niekoľkých spustiteľných súboroch na základe analýzy binárnych zostáv;
- metódy obchádzania mechanizmu Intel Boot Guard na načítanie modifikovaných UEFI firmware bez kontroly digitálnym podpisom.
- Najhlúpejšia reakcia dodávateľa (Lamest Vendor Response). Nominácia za najneadekvátnejšiu reakciu na oznámenie o zraniteľnosti vo vlastnom produkte. Víťazmi sa stali vývojári kryptopeněženky BitFi, ktorí hlásajú nadmernú bezpečnosť svojho produktu, ktorá sa v skutočnosti ukázala byť falošnou, a vyvolávajú perzekúciu na výskumníkov odhaľujúcich zraniteľnosti a nevyplácajú sľúbené ceny za odhalenie problémov;
Medzi nominovanými na cenu sa tiež zvažovali:
- Bezpečnostný výskumník obvinil riaditeľa Atrient z útoku s cieľom donútiť ho odstrániť správu o zistení zraniteľnosti, avšak riaditeľ incident popiera a kamerový systém nezaznamenal žiadny útok;
- Spoločnosť Zoom oddialila opravu kritickej vo svojom systéme konferenčného spojenia a problém opravili až po verejnom odhalení. Zraniteľnosť umožnila externému útočníkovi získať dáta z webových kamier používateľov macOS pri otvorení špeciálne upravenej stránky v prehliadači (zoom spustil na strane klienta http-server, ktorý prijímal príkazy z lokálnej aplikácie).
- Neschopnosť opraviť s kryptografickými kľúčovými servermi OpenPGP, pričom sa odôvodňovalo, že kód je napísaný v špecifickom jazyku OCaml a zostáva bez sprievodu.
Najviac prehnané oznámenie o zraniteľnosti. Prihlasuje sa za najpatetickejšie a najrozsiahlejšie oznamovanie problému na internete a v médiách, najmä ak sa na konci zraniteľnosť ukáže ako nevyužiteľná v praxi. Cenu získal časopis Bloomberg za o odhalení špionážnych čipov na doskách Super Micro, ktoré sa nepotvrdilo, a zdroj uviedol úplne .
V nominácii sú uvedené:
- Zraniteľnosť v libssh, ktorá jednotlivých serverových aplikácií (libssh sa takmer nepoužíva pre servery), ale bola prezentovaná NCC Group ako zraniteľnosť umožňujúca útočiť na každý server OpenSSH.
- Útok s použitím obrázkov vo formáte DICOM. Podstata spočíva v tom, že je možné pripraviť spustiteľný súbor pre Windows, ktorý bude vyzerať ako platný obrázok vo formáte DICOM. Tento súbor je možné nahrať na medicínske zariadenie a spustiť ho.
- Zraniteľnosť , umožňujúca obísť mechanizmus bezpečného spustenia na zariadeniach Cisco. Zraniteľnosť bola zaradená do kategórie prehnaných problémov, pretože na útok vyžaduje práva root, ale ak útočník už dokázal získať prístup root, aká bezpečnosť môže byť reč.
- Najväčší debakel (Most Epic FAIL). Víťazstvo získal časopis Bloomberg za sériu senzácií s ohromujúcimi titulmi, ale vymyslenými faktami, zamlčovaním zdrojov, prepadom do teórie sprisahania, používaním takých termínov ako „kybernetická zbraň“ a neprijateľnými generalizáciami. Medzi ďalšími nominantmi sú:
- Útok Shadowhammer na službu aktualizácie firmvéru Asus;
- Hackovanie úložiska BitFi, reklamovaného ako „nepreraziteľné“;
- Úniky osobných údajov a prístupu na Facebook.
Zdroj: opennet.ru
