På Black Hat USA-konferensen i Las Vegas prisutdelningsceremoni , som belyser de mest betydande sårbarheterna och absurda misslyckandena inom datorsäkerhetsområdet. Pwnie Awards anses vara motsvarigheten till Oscarsgalan och Golden Raspberries inom området datorsäkerhet och har arrangerats årligen sedan 2007.
Den huvudsakliga и :
- Bästa serverbuggen. Tilldelas för att identifiera och utnyttja den mest tekniskt komplexa och intressanta buggen i en nätverkstjänst. Vinnarna var forskarna sårbarhet hos VPN-leverantören Pulse Secure, vars VPN-tjänst används av Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, US Navy, US Department of Homeland Security (DHS) och förmodligen hälften av företag från Fortune 500-listan. Forskare har hittat en bakdörr som gör att en oautentiserad angripare kan ändra lösenordet för vilken användare som helst. Möjligheten att utnyttja problemet för att få root-åtkomst till en VPN-server där endast HTTPS-porten är öppen har visats;
Bland de kandidater som inte fick priset kan följande noteras:
- Drivs i förautentiseringsstadiet i Jenkins kontinuerliga integrationssystem, som låter dig exekvera kod på servern. Sårbarheten används aktivt av bots för att organisera brytning av kryptovaluta på servrar;
- Kritisk i Exim-postservern, som låter dig köra kod på servern med root-rättigheter;
- i Xiongmai XMeye P2P IP-kameror, så att du kan ta kontroll över enheten. Kamerorna levererades med ett ingenjörslösenord och använde inte digital signaturverifiering vid uppdatering av firmware;
- Kritisk i implementeringen av RDP-protokollet i Windows, vilket låter dig köra din kod på distans;
- i WordPress, associerad med att ladda PHP-kod under sken av en bild. Problemet låter dig exekvera godtycklig kod på servern, med privilegier som författaren till publikationerna (författaren) på webbplatsen;
- Bästa klientprogramvarufel. Vinnaren var den lättanvända i Apple FaceTime-gruppsamtalsystemet, vilket gör att initiatorn av ett gruppsamtal kan tvinga samtalet att accepteras av den uppringda parten (till exempel för att lyssna och snoka).
Även nominerade till priset var:
- i WhatsApp, som låter dig exekvera din kod genom att skicka ett specialdesignat röstsamtal;
- i Skia grafikbibliotek som används i webbläsaren Chrome, vilket kan leda till minneskorruption på grund av flyttalsfel i vissa geometriska transformationer;
- Bästa sårbarhet för ökad privilegie. Segern tilldelades för identifiering i iOS-kärnan, som kan utnyttjas via ipc_voucher, tillgänglig via webbläsaren Safari.
Även nominerade till priset var:
- i Windows, vilket gör att du kan få full kontroll över systemet genom manipulationer med funktionen CreateWindowEx (win32k.sys). Problemet identifierades under analysen av skadlig programvara som utnyttjade sårbarheten innan den åtgärdades;
- i runc och LXC, vilket påverkar Docker och andra behållarisoleringssystem, vilket tillåter en isolerad behållare som kontrolleras av en angripare att ändra den körbara filen runc och få root-privilegier på värdsystemsidan;
- i iOS (CFPrefsDaemon), som låter dig kringgå isoleringslägen och exekvera kod med roträttigheter;
- i utgåvan av Linux TCP-stacken som används i Android, vilket tillåter en lokal användare att höja sina privilegier på enheten;
- i systemd-journald, som låter dig få root-rättigheter;
- i verktyget tmpreaper för rengöring av /tmp, som låter dig spara din fil i valfri del av filsystemet;
- Bästa kryptografiska attacken. Tilldelas för att identifiera de mest betydande luckorna i verkliga system, protokoll och krypteringsalgoritmer. Priset delades ut för identifiering i WPA3 trådlös nätverkssäkerhetsteknik och EAP-pwd, som gör att du kan återskapa anslutningslösenordet och få tillgång till det trådlösa nätverket utan att veta lösenordet.
Andra kandidater till priset var:
- attacker mot PGP- och S/MIME-kryptering i e-postklienter;
- kallstartsmetod för att få tillgång till innehållet i krypterade Bitlocker-partitioner;
- i OpenSSL, vilket gör att du kan separera situationer med att ta emot felaktig utfyllnad och felaktig MAC. Problemet orsakas av felaktig hantering av noll byte i padding oracle;
- med ID-kort som används i Tyskland med SAML;
- med entropin av slumptal i implementeringen av stöd för U2F-tokens i ChromeOS;
- i Monocypher, på grund av vilken noll EdDSA-signaturer erkändes som korrekta.
- Den mest innovativa forskningen någonsin. Priset delades ut till utvecklaren av tekniken , som använder AVX-512 vektorinstruktioner för att emulera programkörning, vilket möjliggör en betydande ökning av fuzzing testhastighet (upp till 40-120 miljarder instruktioner per sekund). Tekniken tillåter varje CPU-kärna att köra 8 64-bitars eller 16 32-bitars virtuella maskiner parallellt med instruktioner för otydlig testning av applikationen.
Följande var berättigade till priset:
- i Power Query-teknik från MS Excel, som låter dig organisera kodexekvering och kringgå applikationsisoleringsmetoder när du öppnar specialdesignade kalkylblad;
- lura autopiloten på Tesla-bilar för att provocera in att köra in i mötande körfält;
- omvänd konstruktion av ASICS-chipet Siemens S7-1200;
- - teknik för spårning av fingerrörelser för att bestämma telefonens upplåsningskod, baserad på principen för ekolodsdrift - de övre och nedre högtalarna på smartphonen genererar ohörbara vibrationer, och de inbyggda mikrofonerna tar upp dem för att analysera närvaron av vibrationer som reflekteras från hand;
- NSA:s Ghidra reverse engineering toolkit;
- — En teknik för att bestämma användningen av kod för identiska funktioner i flera körbara filer baserat på analys av binära sammansättningar.
- en metod för att kringgå Intel Boot Guard-mekanismen för att ladda modifierad UEFI-firmware utan verifiering av digital signatur.
- Den mest lama reaktionen från en leverantör (Sämsta leverantörens svar). Nominering för det mest otillräckliga svaret på ett meddelande om en sårbarhet i din egen produkt. Vinnarna är utvecklarna av BitFi-kryptoplånboken, som skriker om ultrasäkerheten i deras produkt, som i verkligheten visade sig vara inbillad, trakasserar forskare som identifierar sårbarheter och inte betalar de utlovade bonusarna för att identifiera problem;
Bland de sökande till priset övervägde också:
- En säkerhetsforskare anklagade chefen för Atrient för att attackera honom för att tvinga honom att ta bort en rapport om en sårbarhet som han identifierat, men direktören förnekar händelsen och övervakningskameror registrerade inte attacken;
- Zoom fördröjd åtgärda kritiskt problem i sitt konferenssystem och åtgärdade problemet först efter offentliggörande. Sårbarheten gjorde det möjligt för en extern angripare att hämta data från macOS-användares webbkameror när de öppnade en specialdesignad sida i webbläsaren (Zoom lanserade en http-server på klientsidan som fick kommandon från den lokala applikationen).
- Underlåtenhet att korrigera i mer än 10 år med OpenPGP kryptografiska nyckelservrar, med hänvisning till det faktum att koden är skriven på ett specifikt OCaml-språk och förblir utan underhållare.
Det mest hajpade sårbarhetsmeddelandet hittills. Tilldelas för den mest patetiska och storskaliga bevakningen av problemet på internet och media, särskilt om sårbarheten i slutändan visar sig vara outnyttjad i praktiken. Priset tilldelades Bloomberg för om identifiering av spionchips i Super Micro-kort, vilket inte bekräftades, och källan angav absolut .
Omnämns i nomineringen:
- Sårbarhet i libssh, som enstaka serverapplikationer (libssh används nästan aldrig för servrar), men presenterades av NCC Group som en sårbarhet som gör det möjligt att attackera vilken OpenSSH-server som helst.
- Attackera med DICOM-bilder. Poängen är att du kan förbereda en körbar fil för Windows som kommer att se ut som en giltig DICOM-bild. Denna fil kan laddas ner till den medicinska enheten och köras.
- Sårbarhet , som låter dig kringgå den säkra startmekanismen på Cisco-enheter. Sårbarheten klassas som ett överdrivet problem eftersom det kräver root-rättigheter för att attackera, men om angriparen redan kunde få root-åtkomst, vilken säkerhet kan vi då prata om. Sårbarheten vann också i kategorin de mest underskattade problemen, eftersom den låter dig introducera en permanent bakdörr i Flash;
- Största misslyckandet (Mest episka FAIL). Segern tilldelades Bloomberg för en serie sensationella artiklar med högljudda rubriker men påhittade fakta, undertryckande av källor, nedgång i konspirationsteorier, användning av termer som "cybervapen" och oacceptabla generaliseringar. Andra nominerade inkluderar:
- Shadowhammer attack mot Asus firmwareuppdateringstjänst;
- Hacka ett BitFi-valv som annonseras som "unhackable";
- Läckor av personuppgifter och tillgång till Facebook.
Källa: opennet.ru