2021eko Pwnie sarien irabazleak iragarri dituzte dagoeneko

2021 urteroko Pwnie sarien irabazleak iragarri ziren, gertakari bikaina da, eta bertan parte-hartzaileek segurtasun informatikoaren alorreko ahultasun eta akats absurdoenak agerian uzten dituzte.

Pwnie sariak informazioaren segurtasunaren arloan bikaintasuna eta gaitasun eza aitortu. Irabazleak segurtasunaren sektoreko profesionalen batzorde batek aukeratzen ditu informazioaren segurtasuneko komunitatetik jasotako hautagaitzetan oinarrituta.

Irabazleen zerrenda

Pribilegioak areagotzeko ahultasuna hobea: Sari hau Qualys enpresari eman zaio sudo erabilgarritasunean CVE-2021-3156 ahultasuna identifikatzeagatik, root pribilegioak lortzeko aukera ematen duena. Ahultasuna 10 urte inguru egon da kodean eta nabarmentzekoa da bere detekzioak erabilgarritasunaren logikaren azterketa sakona behar zuela.

Zerbitzariko errore onena: hau Teknikoki konplexuena den akatsa identifikatu eta ustiatzeagatik saritua eta interesgarria sareko zerbitzu batean. Garaipena identifikatzeagatik eman zen Microsoft Exchange-ren aurkako erasoen bektore berria. Klase honetako ahultasun guztiei buruzko informazioa ez da kaleratu, baina dagoeneko kaleratu da CVE-2021-26855 (ProxyLogon) zaurgarritasunari buruzko informazioa, erabiltzaile arbitrarioen datuak autentifikaziorik gabe berreskuratzeko aukera ematen duena eta CVE-2021-27065, horrek zure kodea administratzaile eskubideak dituen zerbitzari batean exekutatzeko aukera ematen du.

Kripto erasorik onena: eman zen sistemetako hutsegite esanguratsuenak identifikatzeagatik, protokoloak eta benetako enkriptatze algoritmoak. Saria fMicrosoft-i kaleratu zitzaion ahultasunagatik (CVE-2020-0601) gako publikoetan oinarritutako gako pribatuak sortzea ahalbidetzen duen sinadura digitalaren kurba eliptikoa ezartzean. Arazoari esker, faltsututako TLS ziurtagiriak sor daitezke HTTPSrako eta sinadura digital faltsuak, Windows-ek fidagarriak direla egiaztatuta.

Ikerketa berritzaileenak: Saria BlindSide metodoa proposatu zuten ikertzaileei emana prozesadorearen jarraibideen exekuzio espekulatiboaren ondorioz alboko kanalen ihesak erabiliz alboko kanalen ihesak erabiliz ASLR segurtasuna ekiditeko.

Epic FAIL akats gehienak: Microsoft-i eman zaio funtzionatzen ez duen adabaki bat askorako askatzeagatik PrintNightmare zaurgarritasunagatik (CVE-2021-34527) Windows kodea inprimatzeko irteerako sisteman zure kodea exekutatzeko aukera ematen du. Microsoft hasieran gaia tokiko moduan jarri zuen, baina geroago jakin zen erasoa urrutitik egin zitekeela. Microsoft-ek lau aldiz kaleratu zituen eguneratzeak, baina konponbideak kasu berezi bakarra estaltzen zuen bakoitzean, eta ikertzaileek erasoa egiteko modu berri bat aurkitu zuten.

Bezeroen softwarearen akats onena: sari hori izan zen Samsungeko kriptografia seguruan CVE-2020-28341 ahultasuna aurkitu duen ikertzaile bati eman zaio, CC EAL 5+ segurtasun ziurtagiria jaso du. Ahultasunari esker, babesa erabat saihestu eta enklabean gordetako txipean eta datuetan exekutatzen den kodea sarbidea lortzea, pantaila-babeslearen blokeatzea saihestea eta firmware-n aldaketak egitea ere ezkutuko atzeko atea sortzeko.

Ahultasunik gutxien baloratua: saria izan zen Qualys-i eman zaio Exim posta zerbitzarian 21Nails ahultasun ugari identifikatzeagatik, Horietatik 10 urrutitik balia daitezke. Exim garatzaileek zalantzak zituzten gaiak ustiatzeari buruz eta 6 hilabete baino gehiago eman zituzten irtenbideak garatzen.

Fabrikatzailearen erantzunik ahulena: hau izendapena da zure produktuan zaurgarritasun txosten bati erantzun desegokiena lortzeko. Irabazlea Cellebrite izan da, legea betearazteko auzitegiko eta datuen meatzaritzako aplikazioa. Cellebritek ez zion erantzun egokia eman Moxie Marlinspike-k, Signal protokoloaren egileak, argitaratutako zaurgarritasun txostenari. Moxie-k Cellebriterenganako interesa piztu zuen enkriptatutako Signal mezuak hausteko teknologia sortzeari buruzko komunikabide bat argitaratu ondoren, gero faltsuak zirela eta gero Cellebrite webguneko artikuluko informazioaren interpretazio okerra zela eta. "erasoa" telefonoak sarbide fisikoa eta pantaila desblokeatzeko gaitasuna eskatzen zituen, hau da, mezularitzan mezuak ikustera murrizten zen, baina ez eskuz, baizik eta erabiltzailearen ekintzak simulatzen dituen aplikazio berezi bat erabiliz).

Moxiek Cellebrite aplikazioak aztertu zituen eta bereziki landutako datuak eskaneatzen saiatzean kode arbitrarioa exekutatzea ahalbidetzen zuten ahultasun kritikoak aurkitu zituen. Cellebrite aplikazioak 9 urte daramatza eguneratu ez duen eta adabaki gabeko ahultasun ugari biltzen dituen ffmpeg liburutegi zaharkitua erabiltzen ere agerian utzi du. Arazoak onartu eta konpondu beharrean, erabiltzaileen datuen osotasuna zaintzen duela eta bere produktuen segurtasuna maila egokian mantentzen duela adierazi du Cellebritek.

Bukatzeko Lorpenik handiena - Ilfak Gilfanov, IDA desmuntagailu eta Hex-Rays deskonpilagailuaren egilea, segurtasuneko ikertzaileentzako tresnak garatzen egindako ekarpenagatik eta produktua 30 urtez eguneratuta mantentzeko duen gaitasunagatik.

Fuente: https://pwnies.com


Artikuluaren edukia gure printzipioekin bat dator etika editoriala. Akats baten berri emateko egin klik hemen.

Idatzi lehenengo iruzkina

Utzi zure iruzkina

Zure helbide elektronikoa ez da argitaratuko. Beharrezko eremuak markatuta daude *

*

*

  1. Datuen arduraduna: Miguel Ángel Gatón
  2. Datuen xedea: SPAM kontrolatzea, iruzkinen kudeaketa.
  3. Legitimazioa: Zure baimena
  4. Datuen komunikazioa: datuak ez zaizkie hirugarrenei jakinaraziko legezko betebeharrez izan ezik.
  5. Datuak biltegiratzea: Occentus Networks-ek (EB) ostatatutako datu-basea
  6. Eskubideak: Edonoiz zure informazioa mugatu, berreskuratu eta ezabatu dezakezu.