ProHoster > Blogg > Internetnyheter > Pwnie Awards 2019: De mest betydande sÄrbarheterna och sÀkerhetsmissarna

Pwnie Awards 2019: De mest betydande sÄrbarheterna och sÀkerhetsmissarna

Under konferensen Black Hat USA som hölls i Las Vegas hölls ceremonin för utdelning av priser Pwnie Awards 2019, dÀr de mest betydelsefulla sÄrbarheterna och absurda felen inom datorsÀkerhet lyfts fram. Pwnie Awards anses vara motsvarigheten till Oscars och Golden Raspberry inom datorsÀkerhet och delas ut Ärligen sedan 2007.

Huvud vinnarna och nomineringskategorin:

  • BĂ€sta serverfel. Tilldelas för upptĂ€ckten och utnyttjandet av den mest tekniskt komplexa och intressanta buggen i en nĂ€tverksservice. Vinnarna utsĂ„gs till forskarna som upptĂ€ckte en sĂ„rbarhet hos VPN-leverantören Pulse Secure, vars tjĂ€nst anvĂ€nds av Twitter, Uber, Microsoft, SLA, SpaceX, Akamai, Intel, IBM, VMware, den amerikanska marinen, Department of Homeland Security (DHS) i USA och förmodligen hĂ€lften av företagen pĂ„ Fortune 500-listan. Forskarna hittade en bakdörr som tillĂ„ter en icke-autentiserad angripare att Ă€ndra lösenordet för vilken anvĂ€ndare som helst. Möjligheten att utnyttja problemet visades för att erhĂ„lla root-Ă„tkomst till VPN-servern, dĂ€r endast HTTPS-porten Ă€r öppen;

    Bland de icke-vinnande kandidaterna kan nÀmnas:

    • Utnyttjande före autentiseringssteget sĂ„rbarhet i systemet för kontinuerlig integration Jenkins, vilket möjliggör körning av kod pĂ„ servern. SĂ„rbarheten anvĂ€nds aktivt av botar för att genomföra kryptovaluta-mining pĂ„ servrar;
    • Kritisk sĂ„rbarhet i e-postservern Exim, vilket möjliggör körning av kod pĂ„ servern med root-behörighet;
    • SĂ„rbarheter i IP-kameror Xiongmai XMeye P2P, vilket gör det möjligt att ta kontroll över enheten. Kamerorna levererades med ingenjörslösenord och anvĂ€nde inte verifiering av digital signatur vid firmwareuppdateringar;
    • Kritisk sĂ„rbarhet i implementeringen av RDP-protokollet i Windows, vilket gör det möjligt att köra sin egen kod pĂ„ distans;
    • SĂ„rbarhet i WordPress, relaterat till uppladdning av PHP-kod under sken av en bild. Problemet tillĂ„ter att köra godtycklig kod pĂ„ servern, med författartillstĂ„nd (Author) pĂ„ webbplatsen;
  • BĂ€sta fel i klientprogramvara. Vinnaren Ă€r en lĂ€tt utnyttjad sĂ„rbarhet i Apples FaceTime-gruppsamtalsystem, vilket gör det möjligt för initiativtagaren av gruppsamtalet att tvinga mottagaren att svara (till exempel för att avlyssna och spionera).

    Priset var Àven nominerat till:

    • SĂ„rbarhet i WhatsApp, vilket gör det möjligt att köra sin kod genom att skicka ett sĂ€rskilt utformat röstanrop;
    • SĂ„rbarhet i grafikbiblioteket Skia, som anvĂ€nds i webblĂ€saren Chrome, vilket kan leda till minneskorruption pĂ„ grund av felaktigheter vid flyttaloperationer vid vissa geometriska transformationer;
  • Den bĂ€sta sĂ„rbarheten som leder till ökad behörighet. Vinsten tilldelades för att ha upptĂ€ckt sĂ„rbarheten i kĂ€rnan av iOS, som kan utnyttjas via ipc_voucher, tillgĂ€ngligt för Ă„tkomst via webblĂ€saren Safari.

    Priset var Àven nominerat till:

    • SĂ„rbarhet i Windows, vilket ger full kontroll över systemet genom manipulation med funktionen CreateWindowEx (win32k.sys). Problemet upptĂ€cktes under analys av skadlig programvara som utnyttjade sĂ„rbarheten innan den Ă„tgĂ€rdades;
    • SĂ„rbarhet i runc och LXC, som pĂ„verkar Docker och andra system för containerisolering, vilket möjliggör att en angripare kan Ă€ndra körningsfilen runc frĂ„n en kontrollerad isolerad container och fĂ„ root-behörigheter pĂ„ vĂ€rdsystemet;
    • SĂ„rbarhet i iOS (CFPrefsDaemon), vilket gör det möjligt att kringgĂ„ isoleringslĂ€gen och köra kod med root-behörigheter;
    • SĂ„rbarhet i TCP-stacken i Linux, som anvĂ€nds i Android, vilket möjliggör för en lokal anvĂ€ndare att höja sina behörigheter pĂ„ enheten;
    • SĂ„rbarheter i systemd-journald, vilket möjliggör att fĂ„ root-behörigheter;
    • SĂ„rbarhet i verktyget tmpreaper för att rensa /tmp, vilket gör det möjligt att spara sin fil var som helst i filsystemet;
  • Den bĂ€sta kryptografiska attacken. Tilldelas för att ha upptĂ€ckt de mest betydande bristerna i verkliga system, protokoll och krypteringsalgoritmer. Priset har tilldelats för att ha upptĂ€ckt sĂ„rbarheter i WPA3 trĂ„dlösa nĂ€tverkssky teknologin och i EAP-pwd, vilket möjliggör rekonstruktion av anslutningslösenordet och Ă„tkomst till det trĂ„dlösa nĂ€tverket utan att veta lösenordet.

    Nominerade för priset var ocksÄ:

    • Metod attacker pĂ„ PGP och S/MIME-kryptering i e-postklienter;
    • TillĂ€mpning metoden för kall omstart för att fĂ„ Ă„tkomst till innehĂ„llet i krypterade partitioner med Bitlocker;
    • SĂ„rbarhet i OpenSSL, vilket möjliggör separering av situationer för att fĂ„ felaktig tillĂ€ggspadding och felaktig MAC. Problemet orsakas av felaktig hantering av nollbyte i tillĂ€ggspadding (padding oracle);
    • Problem med identifieringskort som anvĂ€nds i Tyskland och som anvĂ€nder SAML;
    • Problemet med slumpmĂ€ssig entropi i implementeringen av stöd för U2F-token i ChromeOS;
    • SĂ„rbarhet i Monocypher, som gjorde att nollsignaturer EdDSA bedömdes som giltiga.
  • Den mest innovativa forskningen. Priset tilldelades teknikens utvecklare Vektoriseringsemulation, som anvĂ€nder AVX-512 vektorinstruktioner för att emulera programkörning, vilket möjliggör en betydande ökning av hastigheten för fuzzing-testning (upp till 40-120 miljarder instruktioner per sekund). Tekniken gör det möjligt att parallellt köra 8 64-bitars eller 16 32-bitars virtuella maskiner med instruktioner för fuzzing-testning av applikationen pĂ„ varje CPU-kĂ€rna.

    Nominerade till priset var:

    • SĂ„rbarhet Power Query-teknologi frĂ„n MS Excel, som möjliggör utförande av kod och kringgĂ„ende av isoleringsmetoder för applikationer vid öppning av sĂ€rskilt utformade kalkylblad;
    • Metod bedrĂ€geri av Tesla-bilar för att provocera fram en körning pĂ„ fel fil;
    • Arbete omvĂ€nd ingenjörskonst av ASICS-chippet Siemens S7-1200;
    • SonarSnoop – en teknik för att spĂ„ra fingerbewegelse för att avslöja telefonens upplĂ„sningskod, baserad pĂ„ sonarprincipen – den övre och nedre högtalaren hos smartphones genererar ohörbara vibrationer, och de inbyggda mikrofonerna fĂ„ngar upp dem för att analysera förekomsten av reflekterade vibrationer frĂ„n handen;
    • Utveckling verktyg pĂ„ NSA för omvĂ€nd ingenjörskonst Ghidra;
    • SAFE – en teknik för att identifiera anvĂ€ndning av kod med samma funktioner i flera körbara filer baserat pĂ„ analys av binĂ€ra samlingar;
    • Skapande av en metod för att kringgĂ„ Intel Boot Guard-mekanismen för att ladda modifierade UEFI-firmware utan kontroll av digital signatur.
  • Den lamaste reaktionen frĂ„n leverantören (Lamest Vendor Response). Nominering för den mest inadekvata reaktionen pĂ„ meddelandet om en sĂ„rbarhet i egen produkt. Vinnarna erkĂ€nns som utvecklarna av kryptovaluta-plĂ„nboken BitFi, som skriker om sin produkts extrema sĂ€kerhet, vilken i verkligheten visade sig vara en illusion, och som trakasserar forskare som upptĂ€cker sĂ„rbarheter och inte betalar ut lovade priser för att identifiera problem;

    Bland kandidaterna till priset övervÀgdes Àven:

    • En sĂ€kerhetsforskare anklagade VD:n för Atrient för ett angrepp för att tvinga denne att ta bort rapporten om en upptĂ€ckt sĂ„rbarhet, men VD:n förnekar incidenten och övervakningskameror fĂ„ngade inte detta angrepp;
    • Företaget Zoom fördröjde Ă„tgĂ€rder för att Ă„tgĂ€rda den kritiska sĂ„rbarheten i deras konferenssystem och Ă„tgĂ€rdade problemet först efter offentlig upplysning. SĂ„rbarheten tillĂ€t en extern angripare att hĂ€mta data frĂ„n anvĂ€ndarnas webbkameror pĂ„ macOS genom att öppna en sĂ€rskilt utformad sida i webblĂ€saren (zoom startade en http-server pĂ„ klientsidan som tog emot kommandon frĂ„n det lokala programmet).
    • OförmĂ„ga att Ă„tgĂ€rda pĂ„ mer Ă€n 10 Ă„r problemet med OpenPGP-krypteringsnycklar, med motiveringen att koden Ă€r skriven i det specifika sprĂ„ket OCaml och saknar följeslagare.

    Det mest överdrivna tillkÀnnagivandet om sÄrbarhet. Tilldelas för den mest uppblÄsta och omfattande belysningen av problemet pÄ nÀtet och i media, sÀrskilt om sÄrbarheten sedan visar sig vara praktiskt taget oanvÀndbar. Priset tilldelades Bloomberg för ett uttalande upptÀckten av spionchip pÄ Super Micro-moderkort, vilket inte bekrÀftades, och kÀllan angav helt annan information.

    I nomineringen nÀmns:

    • SĂ„rbarhet i libssh, som pĂ„verkade enkla serverapplikationer (libssh anvĂ€nds nĂ€stan inte för servrar), men presenterades av NCC Group som en sĂ„rbarhet som tillĂ„ter attack mot vilken OpenSSH-server som helst.
    • Attack med hjĂ€lp av DICOM-bilder. IdĂ©n Ă€r att man kan förbereda en körbar fil för Windows som ser ut som en giltig DICOM-bild. Denna fil kan laddas upp pĂ„ en medicinsk enhet och köras.
    • SĂ„rbarhet Thrangrycat, som gör det möjligt att kringgĂ„ sĂ€kerhetsstartsmekanismen pĂ„ Cisco-enheter. SĂ„rbarheten klassificerades som en uppblĂ„st frĂ„ga eftersom den krĂ€ver root-rĂ€ttigheter för attack, men om angriparen redan har fĂ„tt root-Ă„tkomst, vad gĂ€ller dĂ„ sĂ€kerhet? SĂ„rbarheten vann samtidigt i kategorin mest underskattade problem, eftersom den tillĂ„ter att införa en permanent bakdörr i Flash;
  • Den största misslyckandet (Most Epic FAIL). Vinsten tilldelades Bloomberg för en serie sensationella artiklar med uppseendevĂ€ckande rubriker, men pĂ„hittade fakta, utelĂ€mnande av kĂ€llor, svĂ€ngande mot konspirationsteorier, anvĂ€ndning av termer som "cybervapen" och oacceptabla generaliseringar. Bland andra nominerade:
    • Shadowhammer-attacken pĂ„ Asus firmware-uppdateringstjĂ€nst;
    • Hack av BitFi-lagring, som reklamfördes som "omöjlig att hacka";
    • LĂ€ckor av personlig information och token Ă„tkomst till Facebook.

KĂ€lla: opennet.ru

Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar đŸ”„ Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar | ProHoster