Kompyuter xavfsizligi sohasidagi eng muhim zaifliklar va absurd nosozliklarni ta'kidlab, yillik Pwnie mukofotlari 2021 g'oliblari aniqlandi. Pwnie mukofotlari kompyuter xavfsizligi bo'yicha Oskar va Oltin malinaning ekvivalenti hisoblanadi.
Asosiy g'oliblar (da'vogarlar ro'yxati):
- Imtiyozlarni kuchaytirish zaifligi yaxshiroq. G'alaba Qualys kompaniyasiga sudo yordam dasturida root huquqlarini olish imkonini beruvchi CVE-2021-3156 zaifligini aniqlagani uchun berildi. Zaiflik kodda taxminan 10 yil davomida mavjud bo'lib, uni aniqlash uchun yordamchi dastur mantig'ini to'liq tahlil qilish talab qilinganligi bilan ajralib turadi.
- Eng yaxshi server xatosi. Tarmoq xizmatidagi texnik jihatdan eng murakkab va qiziqarli xatolikni aniqlash va undan foydalanish uchun mukofotlangan. G‘alaba Microsoft Exchange’ga hujumlarning yangi vektorini aniqlagani uchun berildi. Bu sinfning barcha zaifliklari haqidagi maʼlumotlar eʼlon qilinmagan, biroq CVE-2021-26855 (ProxyLogon) oʻzboshimchalik bilan foydalanuvchidan maʼlumotlarni autentifikatsiya qilmasdan olish imkonini beruvchi zaiflik va CVE-2021-27065 haqida maʼlumotlar allaqachon oshkor qilingan. administrator huquqlariga ega bo'lgan serverda kodingizni bajarishingiz mumkin.
- Eng yaxshi kriptografik hujum. Haqiqiy tizimlar, protokollar va shifrlash algoritmlaridagi eng muhim kamchiliklarni aniqlash uchun mukofotlanadi. Mukofot Microsoft’ga ochiq kalitlardan shaxsiy kalitlarni yaratishi mumkin bo‘lgan elliptik egri raqamli imzolarni amalga oshirishdagi zaiflik (CVE-2020-0601) uchun berildi. Muammo HTTPS va soxta raqamli imzolar uchun soxta TLS sertifikatlarini yaratishga imkon berdi, ular Windowsda ishonchliligi tasdiqlandi.
- Eng innovatsion tadqiqotlar. Mukofot protsessor tomonidan ko'rsatmalarning spekulyativ bajarilishi natijasida yuzaga keladigan yon kanal oqishidan foydalangan holda manzilni tasodifiylashtirishga asoslangan leverage (ASLR) himoyasini chetlab o'tish uchun BlindSide usulini taklif qilgan tadqiqotchilarga berildi.
- Eng katta muvaffaqiyatsizlik (Most Epic FAIL). Mukofot Microsoft korporatsiyasiga Windows bosib chiqarish tizimidagi PrintNightmare (CVE-2021-34527) zaifligi uchun kodingizni bajarishga imkon beruvchi ko‘p versiyali buzilganligi uchun berildi. Avvaliga Microsoft muammoni mahalliy deb belgilagan, ammo keyin hujum masofadan turib amalga oshirilishi mumkinligi ma’lum bo‘ldi. Keyin Microsoft to'rt marta yangilanishlarni nashr etdi, ammo har safar tuzatish faqat maxsus ishni yopdi va tadqiqotchilar hujumni amalga oshirishning yangi usulini topdilar.
- Mijoz dasturiy ta'minotidagi eng yaxshi xato. CC EAL 2020+ xavfsizlik sertifikatini olgan xavfsiz Samsung kriptoprotsessorlarida CVE-28341-5 zaifligini aniqlagan tadqiqotchi g‘olib bo‘ldi. Zaiflik himoyani to'liq chetlab o'tish va chipda bajarilgan kod va anklavda saqlangan ma'lumotlarga kirish, ekran pardasi blokirovkasini chetlab o'tish, shuningdek, yashirin orqa eshikni yaratish uchun proshivkaga o'zgartirishlar kiritish imkonini berdi.
- Eng kam baholangan zaiflik. Mukofot Qualys kompaniyasiga Exim pochta serveridagi 21Nails qator zaifliklarini aniqlagani uchun berildi, ulardan 10 tasidan masofadan turib foydalanish mumkin. Exim ishlab chiquvchilari muammolardan foydalanish imkoniyatiga shubha bilan qarashdi va tuzatishlarni ishlab chiqish uchun 6 oydan ko'proq vaqt sarfladilar.
- Ishlab chiqaruvchining eng lamer reaktsiyasi (Lamest Vendor Response). O'z mahsulotidagi zaiflik hisobotiga eng nomaqbul javob uchun nomzod. Huquqni muhofaza qilish organlari uchun sud-tibbiyot tahlili va ma'lumotlarni qidirish bo'yicha ilovalarni yaratuvchi Cellebrite kompaniyasi g'olib bo'ldi. Cellebrite Signal protokoli muallifi Moxie Marlinspike tomonidan e'lon qilingan zaiflik hisobotiga noo'rin javob berdi. Moxxi Cellebrite-ga shifrlangan Signal xabarlarini buzishga imkon beruvchi texnologiyani yaratish haqidagi ommaviy axborot vositalaridagi maqoladan so'ng qiziqib qoldi, keyinchalik u Cellebrite veb-saytidagi maqoladagi ma'lumotlar noto'g'ri talqin qilinganligi sababli soxta bo'lib chiqdi, keyin esa o'chirildi (" hujum” telefonga jismoniy kirish va ekranni qulfdan chiqarish qobiliyatini talab qildi, ya'ni messenjerdagi xabarlarni ko'rish uchun qisqartirildi, lekin qo'lda emas, balki foydalanuvchi harakatlarini simulyatsiya qiluvchi maxsus dastur yordamida).
Moxxi Cellebrite ilovalarini o'rganib chiqdi va u erda maxsus ishlab chiqilgan ma'lumotlarni skanerlashda o'zboshimchalik bilan kodni bajarishga imkon beruvchi muhim zaifliklarni topdi. Cellebrite ilovasi, shuningdek, 9 yil davomida yangilanmagan va ko‘plab yangilanmagan zaifliklarni o‘z ichiga olgan eskirgan ffmpeg kutubxonasidan foydalanayotgani aniqlandi. Muammolarni tan olish va muammolarni bartaraf etish o'rniga, Cellebrite foydalanuvchi ma'lumotlarining yaxlitligi haqida qayg'urish, o'z mahsulotlarining xavfsizligini kerakli darajada saqlab turish, muntazam yangilanishlarni chiqarish va o'ziga xos eng yaxshi ilovalarni yetkazib berish haqida bayonot berdi.
- Eng katta yutuq. Mukofot IDA disassembler va Hex-Rays dekompilyatori muallifi Ilfak Gilfanovga xavfsizlik bo‘yicha tadqiqotchilar uchun vositalarni yaratishga qo‘shgan hissasi va mahsulotni 30 yil davomida yangilab turish qobiliyati uchun berildi.
Manba: opennet.ru