سالانہ Pwnie Awards 2021 کے فاتحین کا اعلان کر دیا گیا ہے، جس میں کمپیوٹر سیکیورٹی میں انتہائی اہم کمزوریوں اور مضحکہ خیز ناکامیوں کو اجاگر کیا گیا ہے۔ Pwnie Awards کو کمپیوٹر سیکیورٹی کے شعبے میں آسکر اور گولڈن راسبیری کے برابر سمجھا جاتا ہے۔
اہم فاتحین (مقابلوں کی فہرست):
- بہترین کمزوری جو استحقاق میں اضافے کا باعث بنتی ہے۔ یہ فتح Qualys کو sudo یوٹیلیٹی میں CVE-2021-3156 کی کمزوری کی نشاندہی کرنے پر دی گئی، جو آپ کو روٹ مراعات حاصل کرنے کی اجازت دیتی ہے۔ کمزوری کوڈ میں تقریباً 10 سال تک موجود تھا اور یہ قابل ذکر ہے کہ اس کی شناخت کے لیے افادیت کی منطق کے مکمل تجزیہ کی ضرورت تھی۔
- بہترین سرور بگ۔ نیٹ ورک سروس میں سب سے زیادہ تکنیکی طور پر پیچیدہ اور دلچسپ بگ کی شناخت اور اس کا فائدہ اٹھانے کے لیے انعام دیا گیا۔ یہ فتح مائیکروسافٹ ایکسچینج پر حملوں کے ایک نئے ویکٹر کی نشاندہی کرنے پر دی گئی۔ اس کلاس کی تمام کمزوریوں کے بارے میں معلومات شائع نہیں کی گئی ہیں، لیکن خطرے کے بارے میں پہلے ہی معلومات کا انکشاف کیا جا چکا ہے CVE-2021-26855 (ProxyLogon)، جو آپ کو بغیر تصدیق کے کسی صوابدیدی صارف کا ڈیٹا نکالنے کی اجازت دیتا ہے، اور CVE-2021-27065 ، جو آپ کے کوڈ کو ایڈمنسٹریٹر کے حقوق کے ساتھ سرور پر لاگو کرنا ممکن بناتا ہے۔
- بہترین کرپٹوگرافک حملہ۔ حقیقی نظاموں، پروٹوکولز اور انکرپشن الگورتھم میں سب سے اہم خلا کی نشاندہی کرنے پر ایوارڈ دیا گیا۔ مائیکروسافٹ کو یہ ایوارڈ بیضوی منحنی خطوط پر مبنی ڈیجیٹل دستخطوں کے نفاذ میں کمزوری (CVE-2020-0601) کے لیے دیا گیا، جو عوامی چابیاں کی بنیاد پر نجی کلیدیں بنانے کی اجازت دیتا ہے۔ اس مسئلے نے HTTPS کے لیے جعلی TLS سرٹیفکیٹس اور فرضی ڈیجیٹل دستخطوں کی تخلیق کی اجازت دی ہے جن کی تصدیق Windows کے ذریعے قابل اعتماد ہے۔
- اب تک کی سب سے جدید تحقیق۔ یہ انعام ان محققین کو دیا گیا جنہوں نے ایڈریس پر مبنی رینڈمائزیشن (ASLR) کے تحفظ کو نظرانداز کرنے کے لیے BlindSide طریقہ تجویز کیا تھا جس کے نتیجے میں سائیڈ چینل لیکس کے نتیجے میں ہدایات کے قیاس آرائی پروسیسر پر عمل درآمد ہوتا ہے۔
- سب سے بڑی ناکامی (موسٹ ایپک فیل)۔ یہ ایوارڈ مائیکروسافٹ کو ونڈوز پرنٹنگ سسٹم میں پرنٹ نائٹ میئر کمزوری (CVE-2021-34527) کے لیے ٹوٹے ہوئے حل کو بار بار جاری کرنے پر دیا گیا جس نے کوڈ پر عمل درآمد کی اجازت دی۔ مائیکروسافٹ نے ابتدائی طور پر اس مسئلے کو مقامی کے طور پر جھنڈا دیا، لیکن پھر پتہ چلا کہ یہ حملہ دور سے کیا جا سکتا ہے۔ پھر مائیکروسافٹ نے چار بار اپ ڈیٹس شائع کیں، لیکن ہر بار فکس نے صرف ایک خاص کیس بند کیا اور محققین نے حملہ کرنے کا ایک نیا طریقہ تلاش کیا۔
- کلائنٹ سافٹ ویئر میں بہترین بگ۔ فاتح وہ محقق تھا جس نے سیمسنگ محفوظ کرپٹو پروسیسرز میں CVE-2020-28341 کمزوری کی نشاندہی کی، جس نے CC EAL 5+ سیکیورٹی سرٹیفکیٹ حاصل کیا۔ کمزوری نے سیکیورٹی کو مکمل طور پر نظرانداز کرنا اور چپ پر چلنے والے کوڈ اور انکلیو میں محفوظ ڈیٹا تک رسائی حاصل کرنا، اسکرین سیور لاک کو بائی پاس کرنا، اور ایک پوشیدہ بیک ڈور بنانے کے لیے فرم ویئر میں تبدیلیاں کرنا بھی ممکن بنایا۔
- سب سے کم تخمینہ خطرہ۔ Qualys کو ایگزم میل سرور میں 21Nails کی کمزوریوں کی ایک سیریز کی نشاندہی کرنے پر یہ ایوارڈ دیا گیا، جن میں سے 10 کو دور سے استعمال کیا جا سکتا ہے۔ ایگزم ڈویلپرز کو شک تھا کہ مسائل کا فائدہ اٹھایا جا سکتا ہے اور 6 ماہ سے زیادہ کا وقت درست کرنے میں لگایا جا سکتا ہے۔
- Lamest وینڈر جواب. آپ کی اپنی مصنوعات میں کمزوری کے بارے میں ایک پیغام کے لیے انتہائی ناکافی جواب کے لیے نامزدگی۔ فاتح Cellebrite تھا، ایک کمپنی جو قانون نافذ کرنے والے اداروں کے ذریعے فرانزک تجزیہ اور ڈیٹا نکالنے کے لیے درخواستیں تیار کرتی ہے۔ سیلبرائٹ نے سگنل پروٹوکول کے مصنف، موکسی مارلن اسپائک کی طرف سے بھیجی گئی خطرے کی رپورٹ کا مناسب جواب نہیں دیا۔ موکسی کی میڈیا میں ایک ایسی ٹیکنالوجی کی تخلیق کے بارے میں ایک نوٹ کی اشاعت کے بعد سیلبرائٹ میں دلچسپی پیدا ہوئی جو انکرپٹڈ سگنل پیغامات کو ہیک کرنے کی اجازت دیتی ہے، جو بعد میں سیلبرائٹ ویب سائٹ پر ایک مضمون میں معلومات کی غلط تشریح کی وجہ سے جعلی نکلا۔ پھر ہٹا دیا گیا ("حملے" کے لیے فون تک جسمانی رسائی اور لاک اسکرین کو ہٹانے کی صلاحیت کی ضرورت تھی، یعنی اسے میسنجر میں پیغامات دیکھنے کے لیے کم کر دیا گیا تھا، لیکن دستی طور پر نہیں، بلکہ ایک خاص ایپلی کیشن کا استعمال کرتے ہوئے جو صارف کے اعمال کی نقل کرتا ہے)۔
Moxey نے Cellebrite ایپلی کیشنز کا مطالعہ کیا اور وہاں ایسی اہم کمزوریوں کو پایا جس کی وجہ سے خاص طور پر ڈیزائن کردہ ڈیٹا کو اسکین کرنے کی کوشش کرتے وقت صوابدیدی کوڈ کو عمل میں لایا جا سکتا ہے۔ Cellebrite ایپلی کیشن کو ایک پرانی ffmpeg لائبریری کا استعمال کرتے ہوئے بھی پایا گیا جسے 9 سالوں سے اپ ڈیٹ نہیں کیا گیا تھا اور اس میں بڑی تعداد میں غیر پیچیدگیاں موجود تھیں۔ مسائل کو تسلیم کرنے اور مسائل کو حل کرنے کے بجائے، Cellebrite نے ایک بیان جاری کیا کہ وہ صارف کے ڈیٹا کی سالمیت کا خیال رکھتا ہے، اپنی مصنوعات کی حفاظت کو مناسب سطح پر برقرار رکھتا ہے، باقاعدگی سے اپ ڈیٹ جاری کرتا ہے اور اپنی نوعیت کی بہترین ایپلی کیشنز فراہم کرتا ہے۔
- سب سے بڑی کامیابی۔ یہ انعام آئی ڈی اے کو جدا کرنے والے اور Hex-Rays decompiler کے مصنف Ilfak Gilfanov کو، سیکورٹی محققین کے لیے ٹولز کی ترقی میں ان کے تعاون اور 30 سال تک ایک تازہ ترین پروڈکٹ کو برقرار رکھنے کی صلاحیت کے لیے دیا گیا۔
ماخذ: opennet.ru