Sebokeng sa Black Hat USA se Las Vegas mokete oa likhau , e totobatsang bofokoli ba bohlokoa ka ho fetisisa le ho hlōleha ho sa utloahaleng tšimong ea ts'ireletso ea k'homphieutha. Likhau tsa Pwnie li nkuoa li lekana le Oscars le Golden Raspberries lebaleng la ts'ireletso ea likhomphutha mme esale li tšoaroa selemo le selemo ho tloha 2007.
ka sehloohong и :
- Molemo ka ho fetisisa seva bug. E fuoa khau bakeng sa ho tsebahatsa le ho sebelisa hampe bothata bo rarahaneng le bo khahlisang haholo ts'ebeletso ea marang-rang. Bahlōli e ne e le bafuputsi ho ba kotsing ho mofani oa VPN Pulse Secure, eo tšebeletso ea hae ea VPN e sebelisoang ke Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, Navy ea US, Lefapha la Tšireletso ea Lehae la United States (DHS) mme mohlomong halofo ea lik'hamphani tse tsoang lethathamong la Fortune 500. Bafuputsi ba fumane mokokotlo o lumellang mohlaseli ea sa netefatsoang hore a fetole phasewete ea mosebedisi leha e le ofe. Monyetla oa ho sebelisa bothata ho fumana mokhoa oa ho fumana metso ho seva sa VPN seo ho sona ho butsoeng feela sekepe sa HTTPS se bontšitsoeng;
Har'a ba khethiloeng ba sa kang ba fumana moputso, ho ka hlokomeloa tse latelang:
- E sebetsoa mokhahlelong oa netefatso ea pele ho Jenkins tsamaiso e tsoelang pele ea ho kopanya, e leng se u lumellang hore u phethe khoutu ho seva. Kotsi e sebelisoa ka mafolofolo ke bots ho hlophisa merafo ea chelete ea crypto ho li-server;
- Bohlokoa ho seva sa lengolo-tsoibila la Exim, se u lumellang hore u phethe khoutu ho seva ka litokelo tsa motso;
- ka Xiongmai XMeye P2P IP lik'hamera, e leng se u lumellang hore u nke taolo ea sesebelisoa. Lik'hamera li ne li fanoe ka password ea boenjiniere 'me ha lia ka tsa sebelisa netefatso ea signature ea dijithale ha ho ntlafatsoa firmware;
- Bohlokoa ts'ebetsong ea protocol ea RDP ho Windows, e u lumellang hore u phethe khoutu ea hau u le hole;
- ka WordPress, e amanang le ho kenya khoutu ea PHP tlas'a setšoantšo sa setšoantšo. Bothata bo u lumella ho etsa khoutu e se nang boikemelo ho seva, ho ba le litokelo tsa mongoli oa lingoliloeng (Mongoli) setšeng;
- Molemo ka ho fetisisa Client Software Bug. Ea hlotseng e ne e le eo ho leng bonolo ho e sebelisa ho Apple FaceTime sehlopha sa mehala ea ho letsetsa, e lumellang mothehi oa mohala oa sehlopha ho qobella mohala hore o amoheloe ke mokha o bitsoang (mohlala, bakeng sa ho mamela le ho nyenyefatsa).
Hape ba khethetsoeng moputso ke:
- ho WhatsApp, e u lumellang hore u phethe khoutu ea hau ka ho romella mohala oa lentsoe o etselitsoeng ka ho khetheha;
- laebraring ea litšoantšo ea Skia e sebelisoang ho sebatli sa Chrome, se ka lebisang bobolung ba mohopolo ka lebaka la liphoso tsa lintlha tse phaphametseng liphetohong tse ling tsa geometri;
- Phahamiso e Molemo ka ho Fetisisa ea Kotsi ea Tokelo. Victory e ile ea fuoa ka lebaka la ho khetholla ho iOS kernel, e ka sebelisoang hampe ka ipc_voucher, e fumanehang ka sebatli sa Safari.
Hape ba khethetsoeng moputso ke:
- ho Windows, ho u lumella ho fumana taolo e felletseng holim'a sistimi ka ho qhekella ka mosebetsi oa CreateWindowEx (win32k.sys). Bothata bo ile ba bonoa nakong ea tlhahlobo ea malware e sebelisitseng hampe ho ba kotsing pele e lokisoa;
- ho runc le LXC, e amang Docker le lits'ebetso tse ling tsa ho itšehla thajana, ho lumella setshelo se ka thoko se laoloang ke mohlaseli ho fetola faele e sebetsang ea runc le ho fumana litokelo tsa motso ka lehlakoreng la sistimi e amohelang;
- ho iOS (CFPrefsDaemon), e u lumellang ho qoba mekhoa ea ho itšehla thajana le ho etsa khoutu e nang le litokelo tsa metso;
- khatisong ea Linux TCP stack e sebelisitsoeng ho Android, e lumellang mosebelisi oa lehae ho phahamisa litokelo tsa bona sesebelisoa;
- ho systemd-journald, e u lumellang ho fumana litokelo tsa metso;
- ka ts'ebeliso ea tmpreaper bakeng sa ho hloekisa /tmp, e u lumellang ho boloka faele ea hau karolong efe kapa efe ea sistimi ea faele;
- Tlhaselo e Ntle ka ho Fetisisa ea Cryptographic. E fuoa khau ea ho tsebahatsa likheo tsa bohlokoahali lits'ebetsong tsa 'nete, liprothokholo le li-algorithms tsa encryption. Moputso o ile oa fanoa bakeng sa ho tsebahatsa ho WPA3 thekenoloji ea ts'ireletso ea marang-rang e se nang mohala le EAP-pwd, e u lumellang hore u boele u bope phasewete ea khokahano le ho fihlella marang-rang a se nang mohala ntle le ho tseba phasewete.
Bonkgetheng ba bang ba kgau ena e ne e le:
- litlhaselo ho PGP le S/MIME encryption ho bareki ba lengolo-tsoibila;
- mokhoa o batang oa boot o fumana phihlello ea litaba tsa likarolo tse kentsoeng tsa Bitlocker;
- ho OpenSSL, e u lumellang ho arola maemo a ho amohela padding e fosahetseng le MAC e fosahetseng. Bothata bo bakoa ke ho tšoaroa ka tsela e fosahetseng ha li-byte tsa zero ho padding oracle;
- ka likarete tsa ID tse sebelisoang Jeremane ho sebelisa SAML;
- ka entropy ea linomoro tse sa reroang ts'ebetsong ea ts'ehetso ea li-tokens tsa U2F ho ChromeOS;
- ho Monocypher, ka lebaka leo li-signature tsa EdDSA tse se nang thuso li ileng tsa amoheloa e le tse nepahetseng.
- Patlisiso e ncha ka ho fetesisa. Moputso o ile oa fuoa moqapi oa theknoloji , e sebelisang litaelo tsa li-vector tsa AVX-512 ho etsisa ts'ebetso ea lenaneo, e leng se lumellang hore ho be le keketseho e kholo ea lebelo la ho hlahloba fuzzing (ho fihlela ho litaelo tse limilione tse likete tse 40-120 motsotsoana). Mokhoa ona o lumella konokono e 'ngoe le e' ngoe ea CPU hore e tsamaise mechini ea 8 64-bit kapa 16 32-bit e tsamaisanang le litaelo tsa tlhahlobo e makatsang ea ts'ebeliso.
Ba latelang ba ne ba tšoaneleha bakeng sa khau:
- ho theknoloji ea Power Query e tsoang ho MS Excel, e u lumellang ho hlophisa ts'ebetso ea khoutu le ho feta mekhoa ea ho itšehla thajana ha u bula li-spreadsheet tse etselitsoeng ka ho khetheha;
- ho thetsa autopilot ea likoloi tsa Tesla ho qholotsa ho khanna ka tsela e tlang;
- boenjiniere ba morao-rao ba ASICS chip Siemens S7-1200;
- - Mokhoa oa ho latela menoana ho fumana khoutu ea ho notlolla mohala, ho ipapisitsoe le molao-motheo oa ts'ebetso ea sonar - libui tse holimo le tse tlase tsa smartphone li hlahisa li-vibrations tse sa utloahaleng, 'me li-microphone tse hahelletsoeng li li nka ho lekola boteng ba li-vibrations tse hlahang ho letsoho;
- setlankana sa lithulusi sa boenjiniere sa NSA sa Ghidra;
- - mokhoa oa ho khetholla tšebeliso ea khoutu bakeng sa mesebetsi e tšoanang lifaeleng tse 'maloa tse ka phethisoang ho latela tlhahlobo ea likopano tsa binary;
- mokhoa oa ho feta mochini oa Intel Boot Guard ho kenya firmware ea UEFI e fetotsoeng ntle le netefatso ea signature ea dijithale.
- Karabelo e holofetseng ka ho fetisisa ho tsoa ho morekisi (Karabelo ea Morekisi ea Lamest). Kgetho bakeng sa karabelo e sa lekaneng molaetsa o mabapi le ho ba kotsing sehlahiswang sa hao. Ba hlolang ke baetsi ba sepache sa BitFi crypto, ba hoeletsang ka ts'ireletso ea ultra-security ea sehlahisoa sa bona, seo ha e le hantle se ileng sa fetoha se inahaneloang, se hlekefetsa bafuputsi ba khethollang bofokoli, 'me ha ba lefe libonase tse tšepisitsoeng bakeng sa ho khetholla mathata;
Har'a bakopi ba khau le bona ba nahane:
- Mofuputsi oa ts'ireletso o ile a qosa mookameli oa Atrient ka ho mo hlasela e le hore a mo qobelle ho tlosa tlaleho ea ho ba kotsing eo a e boneng, empa mookameli o latola ketsahalo eo 'me lik'hamera tsa leihlo ha lia tlaleha tlhaselo eo;
- Zoom e liehile ho lokisa taba ea bohlokoa tsamaisong ea eona ea liboka le ho lokisa bothata feela ka mor'a phatlalatso ea sechaba. Ho ba kotsing ho ile ha lumella mohlaseli oa kantle ho fumana datha ho tsoa ho lik'hamera tsa marang-rang tsa basebelisi ba macOS ha a bula leqephe le etselitsoeng ka ho khetheha ho sebatli (Zoom e phatlalalitse seva ea http ka lehlakoreng la bareki e amohetseng litaelo ho tsoa ts'ebelisong ea lehae).
- Ho hloleha ho lokisa ho feta lilemo tse 10 ka li-server tsa OpenPGP tsa li-cryptographic, tse qotsang taba ea hore khoutu e ngotsoe ka puo e itseng ea OCaml mme e sala e se na mohlokomeli.
Phatlalatso e matla ka ho fetesisa ea ho ba tlokotsing hajoale. E fuoa khau bakeng sa phatlalatso e bohloko ka ho fetesisa le e kholo ea bothata ho Marang-rang le mecheng ea litaba, haholo-holo haeba ts'oaetso e qetella e le e ke keng ea sebelisoa. Moputso o ile oa fuoa Bloomberg bakeng sa mabapi le boitsebahatso ba li-spy chips ho liboto tsa Super Micro, tse sa kang tsa netefatsoa, mme mohloli o bonts'itse ka botlalo .
E boletsoe khethong:
- Kotsi ho libssh, e leng lisebelisoa tse le 'ngoe tsa seva (libssh ha e e-s'o sebelisetsoe li-server), empa e hlahisitsoe ke Sehlopha sa NCC e le ts'oaetso e lumellang ho hlasela seva sefe kapa sefe sa OpenSSH.
- Tlhaselo e sebelisa litšoantšo tsa DICOM. Taba ke hore o ka lokisa faele e sebetsang ea Windows e tla shebahala joalo ka setšoantšo se nepahetseng sa DICOM. Faele ena e ka khoasolloa sesebelisoa sa bongaka 'me ea etsoa.
- Ho ba tlokotsing , e leng se u lumellang hore u fetele mokhoa o sireletsehileng oa boot o nang le lisebelisoa tsa Cisco. Bofokoli bo hlalosoa e le bothata bo feteletseng hobane bo hloka litokelo tsa metso ho hlasela, empa haeba mohlaseli a ne a se a ntse a khona ho fumana metso, joale re ka bua ka tšireletso efe. Bofokoli bo boetse bo hapile mokhahlelong oa mathata a sa lekanyetsoang ka ho fetesisa, kaha o u lumella ho hlahisa backdoor e sa feleng ho Flash;
- Ho hloleha ho hoholo (Haholo-holo Epic FAIL). Tlhōlo e ile ea fuoa Bloomberg bakeng sa letoto la lingoloa tse hapang maikutlo tse nang le lihlooho tse lerata empa lintlha tse iqapetsoeng, ho hatelloa ha mehloli, ho theohela likhopolong tsa morero oa bolotsana, tšebeliso ea mantsoe a kang "cyberweapons", le kakaretso e sa amoheleheng. Ba bang ba khethiloeng ba kenyelletsa:
- Shadowhammer e hlasela tšebeletso ea ntlafatso ea firmware ea Asus;
- Ho qhekella polokelong ea BitFi e phatlalalitsoeng e le "e ke keng ea phunya";
- Ho lutla ha data ea hau le ho kena ho Facebook.
Source: opennet.ru