2023 Pwnie Ödülleri Finalistleriyle Tanışın

Plato tarafından yeniden yayınlandı

İzleyiciler: 0

2023 Pwnie Ödülleri PlatoBlockchain Veri Zekası Finalistleriyle tanışın. Dikey Arama. Ai.

Black Hat USA 2023 yaklaşırken siber güvenliğin Oscar'larını düşünmeye başlamanın zamanı geldi. Pwnie Ödülleri. Heykelcikler dağıtılacak Las Vegas'ta yaşamak 9 Ağustos Çarşamba günü saat 6:30'da - diğer adayların açıklandığı 14 Temmuz'da Brooklyn, New York'ta düzenlenen Summercon hacker buluşmasında verilen bu yılın Yaşam Boyu Başarı Pwnie ödülü hariç.

Marj Araştırması Sophia d'Antoine ve Ian Roos adaylarını sundu. Roos, 80'den fazla aday ve 30 finalist hakkında şunları söyledi: "Hepsinin yanında araştırma makaleleri var, dolayısıyla özel hatanızın ne kadar önemli olduğunu karakterize etme konusunda etkili bir iş yapmadığımızı düşünüyorsanız, bunun nedeni bunu yapmamış olmamızdır. ”

Şimdi kısa olması açısından liste formatında adaylara geçelim. Önce hatanın adı gelir; sonra aday; ve ardından noktalı virgülle ayrılmış olarak ne olduğuna dair kısa bir açıklama. Var olduğu yerde, madde işaretinin sonunda yorum görünür.

En İyi Masaüstü Hatası

Pozlama Sayısı; @b2ahex; CVE-2022-22036, "Sinsi kötü amaçlı yazılım, yerel ayrıcalık yükseltme ve korumalı alandan kaçış maceraları için yeni bir oyun arkadaşı buldu!" D'Antoine bunun önemini şöyle ifade etti: "Bu, Windows'taki performans sayaçlarıyla ilgili olarak en azından son on yılda ortaya çıkan ilk hatadır."
RenderDoc'ta LPE ve RCE, CVE-2023-33865 & CVE-2023-33864; Qualys ekibi; “En son glibc malloc'a karşı güvenilir, tek seferlik uzaktan saldırı” “Sanırım burada bağırılacak en güzel şey Qualys'in en azından son beş yıldır Pwnie'ye aday gösterilmesidir” dedi d'Antoine. "Harika işler yapıyorlar."
CS:GO: Sıfırdan 0 güne; @neodyme; RCE Counter Strike'ta mantık hataları kullanıldı. “İnternet puanları için hacklemek varken neden para için hack’leyesiniz ki?” d'Antoine retorik bir tavırla sordu.

En İyi Mobil Hata (Lol RIP)

Bu kategori için e-tabloda iki giriş vardı:

“Hiçbir şeyi aday göstermediniz lmao”
“Bu yıl NSO Group'u desteklediğimizi ima eden önemli bir parça yok, kusura bakmayın Vice.”

İlk giriş oldukça açık. D'Antoine'ın açıkladığı gibi, "Son birkaç yılda, Pwnie Ödülleri'ne aday gösterilen ancak aynı zamanda özellikle mobil cihazlarla ilgili olarak yalnızca çevrimiçi olarak duyurulan hataların sayısında bir azalma gördük."

İkincisi daha gizemli. Belli ki buna değiniyor 2022 tarihli yardımcı makaleo parçanın yazarının neye benzediğinden işaret ettiği gibi Summercon'da beşinci sıra. Ancak bunun NSO Group'un olumlu bir görüşünü ima ettiğini anlamak için gözlerinizi kısarak bakmak gerekebilir.

En İyi Kriptografik Saldırı

Matrix'te pratik olarak yararlanılabilen kriptografik güvenlik açıkları; @martinralbrecht ve @claucece; Birleşik gerçek zamanlı iletişimler ve özellikle de amiral gemisi istemcisi Element için Matrix standardındaki güvenlik açıkları. İki ev sahibi bu kategori hakkındaki bilgisizliklerini abartıyor gibi görünüyordu. d'Antoine, "Bunların şifreli iletişim için yaygın olarak kullanılan yazılımlar olduğunu biliyoruz" derken Roos, "Bunu çoğunlukla El Kaide ile ilgili gördük" dedi.
MEGA: Dövülebilir şifreleme ters gidiyor; Matilda Backendal, Miro Haller, Prof. Dr. Kenny Paterson; “Kullanıcı verilerinin şifresinin çözülmesine ve değiştirilmesine olanak tanıyan beş yıkıcı saldırı. Ayrıca saldırganlar, istemcilerin yine de kimlik doğrulamasını yapacakları platforma kötü amaçlı dosyalar yerleştirme yeteneğine sahip."
Video tabanlı kriptanaliz: Bir Cihazın Güç LED'inin Video Görüntüsünden Şifreleme Anahtarlarının Çıkarılması; Ben Nassi; “Cihazın LED'inin RGB değerlerini kullanan yeni kriptanalitik yan kanal saldırısı.” Roos, "Bu gerçekten harika bir şey. Temel olarak bir telefona bir LED kaydettiler ve ardından RGB değerleri aracılığıyla onu kriptografik olarak kırmayı başardılar."

En iyi şarkı

Roos, şarkıları çalmaya zamanı olmadığı için özür diledi, ardından onları beatbox'a koymayı teklif ettikten sonra itiraz etti, "Rol için giyindiğimi biliyorum ama bu işe yaramayacak."

“Bağırmak Recon'dan Hugo [Fortier] Bu kategoriye yaklaşık 10 şarkı göndermek için zaman ayırdığınız için," dedi D'Antoine. “Pwnie Ödüllerinin gerçekleşmesi için topluluğa ihtiyaç var.”

En Yenilikçi Araştırma

Roos'un belirttiği gibi, "Bunların çoğu Recon aynı zamanda. ”

Apple'ın Yıldırımının İçinde: iPhone'u Fuzzing ve Kâr için Jtagging; @ghidraninja; Thomas [Roth] Tamarin Kablosu ve Yıldırım Fuzzer adında bir iPhone JTAG kablosu geliştirdi. https://www.youtube.com/watch?v=8p3Oi4DL0el&t=1s YouTube'a göre bu video artık mevcut değil, ancak yine de görüntüleyebilirsiniz Roth'un DEF CON 30 sunumu.
Son Teknoloji CPU'larda Tek Komutlu Çoklu Veri Sızıntıları, Diğer adıyla Çöküş; “Bazı Google çalışanları”; “AMBARGO'd LOL” - 8 Ağustos 2023 Salı - Black Hat 8/9 ve Usenix 8/11'de sunulacak. Roos, ambargonun Salı günü kalkacağını ve ödüllerin ertesi gün verileceğini, bunun da oy vermenin pratikliğini sınırladığını belirtti.
Rowhammer Parmak İzi; Hari Venugopalan, Kaustav Goswami, Zainul Abi Din, Jason Lowe-Power, Samuel T. King, Zubair Shafiq; Centauri — Rowhammer Parmak İzi https://arxiv.org/abs/2307.00143

En Az Abartılan Araştırma

RenderDoc'ta LPE ve RCE, CVE-2023-33865 ve 33864; Qualys ekibi; “2023'teki en son glibc malloc'a karşı güvenilir, tek seferlik uzaktan saldırı! Ayrıca XDG ve systemd'yi içeren eğlenceli bir yerel ayrıcalık artışı." Bu, En İyi Masaüstü Hatası kategorisinin tekrarıdır. D'Antoine şunları söyledi: "Tek seferlik RCE'lerin günleri artık çok az ve bu, en azından bu yıl gördüğümüz birkaç taneden biri."
Aktivasyon Bağlamı Önbellek Zehirlenmesi; Trendmicro'dan Simon Zuckerbraun; “Bu adaylık, etkinleştirme bağlamı önbellek zehirlenmesi olarak bilinen yeni bir ayrıcalık yükseltme güvenlik açıkları sınıfını vurguluyor. Bu teknik, Microsoft tarafından KNOTWEED olarak takip edilen Avusturyalı bir kiralık hack grubu tarafından aktif olarak kullanılıyordu.
Ağ Geçidi Olarak Mobil IoT'de İşbirliğinin Tehlikeleri ve Güvenlik Risklerinin Azaltılması; Xin'an Zhou, Jiale Guan, Luyi Xing, Zhiyun Qian; "Bu araştırmacılar, neredeyse tüm Ağ Geçidi Olarak Mobil (MaaG) IoT cihazlarını etkileyen güvenlik açıklarını ortaya çıkardı ve kullanıcılarını korumaya yardımcı olmak için güvenli şifreleme protokolleri oluşturdu."

En İyi Ayrıcalık Yükseltmesi

URB Excalibur: VMware VM Escapes'in Gordion Düğümünü Kesmek; @danis_jiang, @0x140ce; "Bu ekip, tüm VMware sanal makine ürünlerinde başarıyla VM kaçışları gerçekleştirdi: İş İstasyonu, Fusion ve ESXi (sanal alan içinde), bu da onu geçen yıl pwn2own'daki tek VMware VM kaçışı haline getirdi." Roos şunları söyledi: "Bunu seviyorum çünkü VMware'den kaçışlar gerçekten zor ve bu adamlar bir tane bulmayı başardılar. … Yapılması çok zor bir iş, bunu başardılar – sahne donanımı.”
Databricks Platformunda Küme Operasyonunun Atlanması; Sec-Consult'ta Florian Roth ve Marius Bartholdy "(Kendinizi 12 kez aday gösterdiğiniz için bağırın arkadaşlar)"; "Düşük ayrıcalıklı bir kullanıcı, uzaktan kod yürütme olanağı elde ederek, aynı çalışma alanı ve kuruluş sınırları içindeki Databricks bilgi işlem kümeleri arasındaki izolasyonu kırmayı başardı. Bu, daha sonra bir saldırganın çalışma alanındaki tüm dosyalara ve sırlara erişmesine ve aynı zamanda ayrıcalıklarını bir çalışma alanı yöneticisinin ayrıcalıklarına yükseltmesine olanak tanıyacaktı. D'Antoine kuru bir tavırla şu tavsiyede bulundu: "Başkalarının en azından sizi aday gösteriyormuş gibi yapmalarını sağlamanız gerekiyor."
UNCONTAINED: Linux Çekirdeğindeki Konteyner Karışıklığını Ortaya Çıkarmak; Jakob Koschel, Pietro Borrello, Daniele Cono D'Elia, Herbert Bos, Cristiano Giuffrida; “UNCONTAINED konteyner karışıklığını keşfediyor ve analiz ediyor: ince tip karışıklık hatalarının yeni bir sınıfı. Büyük C programlarına nesne yönelimli özelliklerin yaygın (ve çok az çalışılmış) eklenmesinden (örneğin, Linux çekirdeğindeki ortak CONTAINER_OF makrosunun kullanılmasından) kaynaklanan bu özellikler, saldırganlar için yeni ve verimli bir avlanma alanı, savunucular için ise ek üzüntü sağlar. Roos ve d'Antoine, bu grubun üyelerinin geçen yıl iki kez kazandığını hatırladı. En İyi Masaüstü Hatası ve En Yenilikçi Araştırma.

En İyi Uzaktan Kod Yürütme

Windows Ağ Yük Dengelemesindeki Güvenlik Açıklarını Ortaya Çıkarma: Zayıf Yönleri Keşfetmek; @b2ahex; CVE-2023-28240, "Bu güvenlik açığı, herhangi bir kimlik doğrulama gerektirmeden uzaktan kod yürütülmesine izin veriyor."
ClamAV RCE (CVE-2023-20032); @scannell_simon; “Sunucu tarafı istismarlarına 0 tıklamayla izin veren ASLR bypass tekniği”
Checkmk RCE zinciri; @scryh_; “Her şey sınırlı bir SSRF ile başlıyor ve 5 güvenlik açığının zincirlenmesinin ardından tam gelişmiş bir RCE ile bitiyor. Web dünyasında oldukça nadir görülen bir durum!”

En Kötü Satıcı

Mura CMS'de Kimlik Doğrulama Atlaması; Mura Yazılım; "Mura Software, kendilerine (kendileri tarafından değil) açıklanan hatanın sorumluluğunu üstleniyor ve müşterilerden bu hatayı düzeltmek için 5000 dolar ücret alıyor." https://hoyahaxa.blogspot.com/2023/03/authentication-bypass-mura-masa.html. Roos tanıtım yazısını yüksek sesle okuduğunda kalabalık yuhaladı.
Pinduoduo veya “TEMU, Takım Oluştur, İstismar Aşağı anlamına gelir”; PinDuoDuo; “Pinduoduo, kullanıcılarını gözetlemek amacıyla kendi uygulamasına arka kapılar yüklediği için Android mağazasından elendi. Birden fazla medya ve güvenlik şirketi tarafından ifşa edildikten sonra Pinduoduo, tüm suçlamaları reddetti ve Google'ı Play Store'dan kaldırmakla suçladı, ancak tüm kötü amaçlı kodları hızla ve sessizce sildi ve üzerinde çalışan ekibi dağıttı." Eşit CNN hikayeyi ele aldı.
Threema'dan Üç Ders: Güvenli Bir Messenger'ın Analizi; Threema; "Threema, ETH Zürih'te bir öğrencinin yüksek lisans tezinde bildirilen bazı güvenlik açıklarına değinen oldukça huysuz bir blog yazısı yayınladı." Roos aradı Threema'nın yanıtı "yumruk atıyorum."

En Epik Başarısızlık

“kutsal… bingle, artık bir listemiz var”; Ulaştırma Güvenliği İdaresi; “Kötü şöhretli eşcinsel anarşist hacker Maia Crimew, TSA'nın uçuşa yasak listesinin tamamı internette dolaşıyordum ve izin verme nezaketine sahiptim herkes bunu biliyorum.” Roos sordu: "Başka biri de kendini aradı mı? Kendini bulan var mı? HAYIR? Elbette."
“Geri Hacklemeden 18 Ay Hapis Cezası Aldım”; Jonathan Manzi; “Bu adam, bir çalışanın işten ayrılmasına, kendisini ve yeni işverenini hackleyerek ve karalayarak misilleme yaptı. Çılgın yolculuk, yazarın evsiz bir insanla Tanrı'ya gelme anı ve kuantum mekaniği hakkında bazı utanç verici metaforlarla sona eriyor. Nispeten pişmanlık duymamış görünüyor ve muhtemelen geri gönderilmeli.” İle ilgili Manzi'nin blog yazısı, d'Antoine izin verdi, "Okumaya değer."
İtibarsız… Jonathan Scott; Jonathan Scott; “'FARA'yı ihlal etmemesinin tek nedeni muhtemelen yabancı bir ajan olamayacak kadar aptal olmasıdır.' – Bir Pwnie danışmanı.” Roos, “Ondan tweet atmayı bırakmasını istemeyi düşünüyorduk. Belki hepimiz yapmalıyız.

Destansı Başarı

Çok sayıda 0 gün bulundu; @_clem1; Clement [Lecigne] 33'ten bu yana 0 vahşi 2014 gün yaktı ve bu yıl şu ana kadar 8 0 gün buldu. D'Antoine şöyle düşündü: “Eğer onu vahşi doğada bulursan, bunun senin böcek sayılıp sayılmayacağını bilmiyorum. Bulucular bekçileri, belki? Bilmiyorum."
Şube Geçmişi Enjeksiyonu (BHI / Spectre-BHB); VUsec'ten birisi mi?; “VUsec tarafından yapılan BHI / Spectre-BHB araştırması, Spectre v2 tarzı bir saldırı kullanarak imtiyazsız kullanıcıdan isteğe bağlı çekirdek belleğini sızdırmak için Dal Geçmişi Arabelleğine (Şube Hedef Arabelleği yerine) mikro mimari olarak müdahale edilebileceğini gösterdi.”
Tüm PHP tedarik zincirinin iki kez tehlikeye atılması; @swapgs; “Her ay 2 milyar yazılım paketine hizmet veren Pwning Composer. Bu isteklerin yüz milyondan fazlası, kötü niyetli bağımlılıkları dağıtmak ve milyonlarca sunucuyu tehlikeye atmak için ele geçirilmiş olabilir." https://www.sonarsource.com/blog/securing-developer-tools-a-new-supply-chain-attack-on-php/

Yaşam Boyu Başarı Ödülü Sahibi: Mudge

Geçen yıl ekip, ekstra bir heykelcik hediye etti. Dino Dai ZoviTörenin ilk yaşam boyu başarı ödülü olan Pwnie Ödülleri'nin kurucusu. Roos geçen hafta Brooklyn'de "Bunu yapmaya devam etmeye karar verdik" dedi. “Henüz tahmin etmediyseniz Pwnie Ödülleri 2023 Yaşam Boyu Başarı Ödülünü Mudge'a vereceğiz. Mudge nerede? Yeşil odada mı?”

D'Antoine ekledi, "Onun burada olduğunu biliyoruz."

Birkaç dakika sonra Mudge - bazen Peiter Zatko olarak anılır, büyüyüp L0pht'de çalışan hacker DARPA, Google, Stripe ve, en meşhuru TwitterRapid7'deki mevcut rolünü kabul etmeden önce kısa kollu reglan tişört ve siyah kot pantolon giyerek sahne arkasından çıktı.

Roos şunları söyledi: “Bu, sektörü yaratmak ve onu var olduğu ve gerçek olduğu bir yere koymak için yaptığınız her şeye verilen ömür boyu bir başarı ödülüdür. Bu yüzden teşekkür ederim.”

Mudge, Roos'a sarıldı, sonra Pwnie'sini kaldırdı ve (mikrofon kapalı) "Teşekkür ederim" dedi.

Mudge mikrofonda şunları söyledi: “Bu topluluk ve tüm bunları mümkün kılan diğer herkestir ve ben bu topluluğu seviyorum. Bu benim için çok şey ifade ediyor. … Sen her zaman oradaydın ve umarım ben de senin yanında olmuşumdur.”