Gặp gỡ những người lọt vào Chung kết Giải thưởng Pwnie 2023

Gặp gỡ những người lọt vào Chung kết Giải thưởng Pwnie 2023

Dấu thời gian: 21:2023 chiều ngày 12 tháng 07 năm XNUMX
Gặp gỡ những người lọt vào vòng chung kết cho Giải thưởng Pwnie Awards PlatoBlockchain Data Intelligence năm 2023. Tìm kiếm dọc. Ái.

Khi Black Hat USA 2023 sắp diễn ra, đã đến lúc bắt đầu nghĩ về giải Oscar về an ninh mạng, Giải thưởng Pwnie. Những bức tượng nhỏ sẽ được trao sống ở Las Vegas vào thứ Tư, ngày 9 tháng 6, lúc 30:14 chiều - ngoại trừ Pwnie Thành tựu trọn đời năm nay, được trao tại cuộc gặp gỡ của các hacker Summercon ở Brooklyn, New York vào ngày XNUMX tháng XNUMX, khi các đề cử khác được công bố.

Nghiên cứu ký quỹ Sophia d'Antoine và Ian Roos giới thiệu các ứng cử viên. Roos nói về hơn 80 đề cử và 30 ứng viên lọt vào vòng chung kết: “Tất cả đều có tài liệu nghiên cứu đính kèm, vì vậy nếu bạn cảm thấy như chúng tôi đã không làm tốt công việc mô tả mức độ quan trọng của lỗi đặc biệt của bạn thì đó là vì chúng tôi đã không làm vậy. ”

Bây giờ là những người được đề cử, theo dạng danh sách cho ngắn gọn. Đầu tiên là tên của lỗi; sau đó là người được đề cử; và sau đó là giải thích ngắn gọn về nó là gì, tất cả đều được phân tách bằng dấu chấm phẩy. Nếu nó tồn tại, bình luận sẽ xuất hiện ở cuối mục dấu đầu dòng.

Lỗi máy tính để bàn tốt nhất

  • Đếm tiếp xúc; @b2ahex; CVE-2022-22036, “Phần mềm độc hại lén lút đã tìm thấy một người bạn mới cho cuộc phiêu lưu leo ​​thang đặc quyền cục bộ và thoát khỏi hộp cát!” Về tầm quan trọng của nó, d'Antoine cho biết, "Đây là lỗi đầu tiên được phát hành ít nhất trong thập kỷ qua về bộ đếm hiệu suất trong Windows."
  • LPE và RCE trong RenderDoc, CVE-2023-33865 & CVE-2023-33864; nhóm Qualys; “Một cách khai thác từ xa một lần, đáng tin cậy chống lại glibc malloc mới nhất” “Tôi nghĩ điều thú vị cần nói ở đây là Qualys đã đưa ra đề cử Pwnie trong ít nhất XNUMX năm qua,” d'Antoine nói. “Họ làm một số công việc tuyệt vời.”
  • CS:GO: Từ 0 đến XNUMX ngày; @neodyme; đã sử dụng lỗi logic cho RCE Counter Strike. “Tại sao phải hack để kiếm tiền khi bạn có thể hack để lấy điểm Internet?” d'Antoine hỏi một cách khoa trương.

Lỗi di động hay nhất (Lol RIP)

Đối với danh mục này, bảng tính có hai mục:

  • “các bạn không đề cử gì cả lmao”
  • “không có tác phẩm ăn khách nào ngụ ý rằng chúng tôi ủng hộ Tập đoàn NSO trong năm nay, xin lỗi Vice.”

Mục đầu tiên khá rõ ràng. Như d'Antoine đã giải thích, “Trong vài năm qua, chúng tôi đã thấy số lượng lỗi được đề cử cho Giải thưởng Pwnie đã giảm nhưng cũng chỉ được công bố trực tuyến, đặc biệt là liên quan đến thiết bị di động.”

Thứ hai là khó hiểu hơn. Nó rõ ràng ám chỉ điều này Phó bài từ năm 2022, như tác giả của bài viết đó đã chỉ ra từ những gì trông giống như hàng thứ năm tại Summercon. Tuy nhiên, người ta có thể phải nheo mắt để xem điều này ngụ ý một quan điểm có lợi cho Tập đoàn NSO.

Tấn công mật mã tốt nhất

  • Các lỗ hổng mật mã có thể khai thác được trên thực tế trong Matrix; @martinralbrecht và @claucece; vulns trong tiêu chuẩn Matrix dành cho liên lạc theo thời gian thực được liên kết và đặc biệt là ứng dụng khách hàng đầu, Element. Hai người dẫn chương trình dường như đã phóng đại sự thiếu hiểu biết của mình về thể loại này. d'Antoine mạo hiểm, “Chúng tôi biết chúng là phần mềm được sử dụng rộng rãi để liên lạc được mã hóa,” trong khi Roos nói, “Chúng tôi chủ yếu xem nó về Al Qaeda.”
  • MEGA: Mã hóa dễ uốn bị sai lệch; Matilda Backendal, Miro Haller, Giáo sư Tiến sĩ Kenny Paterson; “năm cuộc tấn công tàn khốc cho phép giải mã và sửa đổi dữ liệu người dùng. Ngoài ra, những kẻ tấn công có khả năng đưa các tệp độc hại vào nền tảng mà khách hàng vẫn sẽ xác thực.”
  • Phân tích mật mã dựa trên video: Trích xuất khóa mật mã từ đoạn phim video về đèn LED nguồn của thiết bị; Ben Nassi; “cuộc tấn công kênh bên phân tích mật mã mới sử dụng giá trị RGB của đèn LED của thiết bị.” Roos nói: “Đây thực sự là một điều thú vị. Về cơ bản, họ đã ghi lại một đèn LED trên điện thoại và sau đó thông qua các giá trị RGB, họ có thể phá vỡ nó bằng mật mã.”

Bài hát hay nhất

Roos xin lỗi vì không có thời gian để chơi các bài hát, sau đó đề nghị beatbox chúng trước khi từ chối, "Tôi biết tôi đã mặc quần áo cho vai diễn, nhưng nó sẽ không phù hợp."

“Hãy hét lên Hugo [Fortier] từ Recon vì đã dành thời gian để gửi khoảng 10 bài hát trong danh mục này,” D'Antoine nói. “Cần có cộng đồng để biến Giải thưởng Pwnie thành hiện thực.”

Nghiên cứu sáng tạo nhất

Như Roos đã chỉ ra, “Rất nhiều trong số này đến từ Recon cũng."

  • Bên trong Lightning của Apple: Gắn thẻ iPhone để làm mờ và kiếm lợi nhuận; @ghidraninja; Thomas [Roth] đã phát triển cáp JTAG cho iPhone có tên là Cáp Tamarin và Lightning Fuzzer. https://www.youtube.com/watch?v=8p3Oi4DL0el&t=1s Theo YouTube, video đó không còn khả dụng nhưng bạn vẫn có thể xem Bài thuyết trình DEF CON 30 của Roth.
  • Một lệnh Rò rỉ nhiều dữ liệu trong các CPU tiên tiến, sự sụp đổ của AKA; “Một số người google”; “EMBARGO'd LOL” - Thứ Ba, ngày 8 tháng 2023 năm 8 - sẽ được trình bày tại Black Hat 9/8 và Usenix 11/XNUMX. Roos lưu ý rằng lệnh cấm vận được dỡ bỏ vào thứ Ba và giải thưởng sẽ diễn ra vào ngày hôm sau, điều này hạn chế tính thực tế của việc bỏ phiếu cho nó.
  • Dấu vân tay Rowhammer; Hari Venugopalan, Kaustav Goswami, Zainul Abi Din, Jason Lowe-Power, Samuel T. King, Zubair Shafiq; Centauri — Dấu vân tay Rowhammer https://arxiv.org/abs/2307.00143

Nghiên cứu ít được cường điệu nhất

  • LPE và RCE trong RenderDoc, CVE-2023-33865 & 33864; nhóm Qualys; “Một cách khai thác từ xa một lần, đáng tin cậy chống lại glibc malloc mới nhất vào năm 2023! Cộng với sự leo thang đặc quyền cục bộ thú vị liên quan đến XDG và systemd.” Đây là sự lặp lại từ danh mục Lỗi máy tính để bàn tốt nhất. D'Antoine cho biết, "Hiện nay, số ngày của RCE một lần còn rất ít và đây là một trong số ít những lần chúng tôi từng thấy, ít nhất là trong năm nay."
  • Ngộ độc bộ đệm trong bối cảnh kích hoạt; Simon Zuckerbraun tại Trendmicro; “Đề cử này nêu bật một loại lỗ hổng leo thang đặc quyền mới, được gọi là ngộ độc bộ nhớ đệm ngữ cảnh kích hoạt. Kỹ thuật này đang được sử dụng tích cực bởi một nhóm hack-for-hire người Áo được Microsoft theo dõi với tên KNOTWEED”
  • Các mối nguy hiểm và giảm thiểu rủi ro bảo mật khi hợp tác trong IoT di động như một cổng kết nối; Xin'an Chu, Jiale Guan, Luyi Xing, Zhiyun Qian; “Các nhà nghiên cứu này đã phát hiện ra các lỗ hổng ảnh hưởng đến hầu hết tất cả các thiết bị IoT Mobile-as-a-Gateway (MaaG) và tạo ra các giao thức mã hóa an toàn để giúp bảo vệ người dùng của họ.”

Nâng cao đặc quyền tốt nhất

  • URB Excalibur: Cắt qua nút thắt Gordian của các lối thoát VMware VM; @danis_jiang, @0x140ce; “Nhóm này đã thực hiện thành công các bước thoát VM trên tất cả các sản phẩm máy ảo VMware: Workstation, Fusion và ESXi (trong sandbox), khiến nó trở thành lối thoát VMware VM duy nhất tại pwn2own năm ngoái.” Roos nói: “Tôi thích điều này vì việc thoát khỏi VMware thực sự rất khó khăn và những người này đã tìm được một chiếc. … Đó là một công việc rất khó thực hiện, họ đã thành công – đạo cụ.”
  • Bỏ qua hoạt động cụm trong nền tảng Databricks; Florian Roth và Marius Bartholdy tại Sec-Consult “(Hét lên vì đã 12 lần tự đề cử mình nhé các bạn)”; “Người dùng có đặc quyền thấp có thể phá vỡ sự cô lập giữa các cụm điện toán Databricks trong ranh giới của cùng một không gian làm việc và tổ chức bằng cách thực thi mã từ xa. Điều này sau đó sẽ cho phép kẻ tấn công truy cập vào tất cả các tệp và bí mật trong không gian làm việc cũng như nâng cao đặc quyền của chúng lên đặc quyền của quản trị viên không gian làm việc.” D'Antoine khuyên một cách khô khan, "Ít nhất bạn phải khiến người khác giả vờ đề cử bạn."
  • UNCONTAINED: Khám phá sự nhầm lẫn về vùng chứa trong nhân Linux; Jakob Koschel, Pietro Borrello, Daniele Cono D'Elia, Herbert Bos, Cristiano Giuffrida; “UNCONTAINED phát hiện và phân tích sự nhầm lẫn về vùng chứa: một loại lỗi nhầm lẫn kiểu tinh vi mới. Do sự phổ biến (và hầu như không được nghiên cứu) của các tính năng hướng đối tượng trong các chương trình C lớn, chẳng hạn như sử dụng macro CONTAINER_OF phổ biến trong nhân Linux, chúng cung cấp một mảnh đất săn mồi mới và màu mỡ cho những kẻ tấn công và gây thêm đau buồn cho những người bảo vệ.” Roos và d'Antoine nhớ rằng các thành viên của nhóm này đã thắng hai lần vào năm ngoái, vì Lỗi máy tính để bàn tốt nhất và Nghiên cứu sáng tạo nhất.

Thực thi mã từ xa tốt nhất

  • Phát hiện các lỗ hổng trong Cân bằng tải mạng Windows: Khám phá điểm yếu; @b2ahex; CVE-2023-28240, “Lỗ hổng này cho phép thực thi mã từ xa mà không yêu cầu bất kỳ xác thực nào.”
  • ClamAV RCE (CVE-2023-20032); @scannell_simon; “Kỹ thuật bỏ qua ASLR cho phép khai thác phía máy chủ bằng 0 cú nhấp chuột”
  • Chuỗi Checkmk RCE; @scryh_; “Tất cả đều bắt đầu với một SSRF giới hạn và kết thúc bằng một RCE toàn diện sau khi xâu chuỗi 5 lỗ hổng. Khá hiếm gặp trong thế giới web!”

Nhà cung cấp nhỏ nhất

  • Bỏ qua xác thực trong Mura CMS; Phần mềm Mura; “Mura Software yêu cầu công nhận về lỗi được tiết lộ cho họ (không phải do họ) và tính phí khách hàng 5000 USD để sửa lỗi đó.” https://hoyahaxa.blogspot.com/2023/03/authentication-bypass-mura-masa.html. Đám đông la ó khi Roos đọc to lời giới thiệu.
  • Pinduoduo hay “TEMU là viết tắt của Team Up, Exploit Down”; PinDuoDuo; “Pinduoduo đã bị loại khỏi cửa hàng Android vì cài đặt các cửa hậu theo đúng nghĩa đen vào ứng dụng của họ để theo dõi người dùng. Sau khi bị nhiều công ty truyền thông và bảo mật vạch trần, Pinduoduo đã phủ nhận mọi cáo buộc và đổ lỗi cho Google vì đã gỡ nó khỏi Play Store, nhưng nhanh chóng và âm thầm xóa tất cả mã độc và giải tán nhóm làm việc trên đó.” Thậm chí CNN đã chọn câu chuyện.
  • Ba bài học từ Threema: Phân tích một Messenger an toàn; Ba mẹ; “Threema đã đăng một bài đăng trên blog khá cáu kỉnh nói về một số điều thô tục được báo cáo bởi luận văn thạc sĩ của một sinh viên tại ETH Zurich.” Roos đã gọi Phản hồi của Threema “đấm xuống.”

Thất bại hoành tráng nhất

  • “Chúa ơi… say sưa chúng ta có danh sách nofly”; Cục An ninh Vận tải; “Hacker đồng tính vô chính phủ khét tiếng Maia Crimew đã phát hiện ra toàn bộ danh sách cấm bay của TSA nằm loanh quanh trên mạng và có ân huệ tốt đẹp để cho phép mọi người Biết về nó." Roos hỏi, “Có ai khác tự tìm kiếm không? Có ai tìm thấy mình không? KHÔNG? Được rồi.”
  • “Tôi bị kết án 18 tháng tù vì hack lại”; Jonathan Manzi; “Anh chàng này đã trả đũa một nhân viên nghỉ việc bằng cách hack và phỉ báng anh ta cũng như người chủ mới của anh ta. Chuyến đi hoang dã kết thúc với việc tác giả có khoảnh khắc đến với Chúa với một người vô gia cư và một số ẩn dụ khó hiểu về cơ học lượng tử. Anh ta có vẻ tương đối không ăn năn và có lẽ nên được đưa trở lại.” Của Bài viết của Manzi, d'Antoine cho phép, "Nó đáng đọc."
  • Kẻ tai tiếng… Jonathan Scott; Jonathan Scott; “'Lý do duy nhất mà anh ta không vi phạm FARA là vì ngay từ đầu anh ta có lẽ đã quá ngu ngốc để trở thành đặc vụ nước ngoài.' – Một chuyên gia tư vấn của Pwnie.” Roos nói, “Chúng tôi đang nghĩ đến việc yêu cầu anh ấy ngừng tweet. Có lẽ tất cả chúng ta nên làm vậy.”

Thành tích sử thi

  • Tìm thấy rất nhiều 0 ngày; @_clem1; Clement [Lecigne] đã đốt 33 ngày 0 trong tự nhiên kể từ năm 2014 và đã tìm thấy 8 ngày 0 trong năm nay. D'Antoine suy ngẫm, “Nếu bạn tìm thấy nó trong tự nhiên, tôi không biết liệu đó có được coi là lỗi của bạn hay không. Có lẽ là người giữ công cụ tìm kiếm? Tôi không biết."
  • Tiêm lịch sử chi nhánh (BHI / Spectre-BHB); Có ai ở VUsec không?; “Nghiên cứu BHI / Spectre-BHB của VUsec cho thấy người ta có thể giả mạo kiến ​​trúc vi mô với Bộ đệm lịch sử nhánh (chứ không phải Bộ đệm mục tiêu nhánh) để vẫn rò rỉ bộ nhớ kernel tùy ý từ người dùng không có đặc quyền bằng cách sử dụng cuộc tấn công kiểu Spectre v2.”
  • Thỏa hiệp toàn bộ chuỗi cung ứng PHP, hai lần; @swapgs; “Pwning Composer phục vụ 2 tỷ gói phần mềm mỗi tháng. Hơn một trăm triệu yêu cầu trong số này có thể đã bị tấn công để phân phối các phần phụ thuộc độc hại và xâm phạm hàng triệu máy chủ.” https://www.sonarsource.com/blog/securing-developer-tools-a-new-supply-chain-attack-on-php/

Người đoạt giải Thành tựu trọn đời: Mudge

Năm ngoái, nhóm đã tặng thêm một bức tượng nhỏ cho Dino Đại Zovi, người sáng lập Giải thưởng Pwnie, là giải thưởng thành tựu trọn đời đầu tiên của buổi lễ. “Chúng tôi đã quyết định sẽ tiếp tục làm điều đó,” Roos nói ở Brooklyn vào tuần trước. “Nếu bạn chưa đoán ra, chúng tôi sẽ trao Giải thưởng Thành tựu trọn đời năm 2023 cho Giải thưởng Pwnie cho Mudge. Mudge đâu? Anh ấy có ở trong phòng xanh không?”

D'Antoine nói thêm, "Chúng tôi biết anh ấy ở đây."

Một lúc sau, Mudge — đôi khi được gọi là Peiter Zatko, hacker L0pht lớn lên để làm việc cho DARPA, Google, Stripe và, nổi tiếng nhất là Twitter, trước khi nhận vai trò hiện tại tại Rapid7 - bước ra từ hậu trường, mặc một chiếc áo phông raglan tay ngắn và quần jean đen.

Roos nói: “Đây là giải thưởng thành tựu trọn đời cho tất cả những gì bạn đã làm để tạo ra ngành và đưa nó vào một nơi mà nó tồn tại và có thật. Cảm ơn bạn."

Mudge ôm Roos, sau đó giơ Pwnie của anh ấy lên và nói (tắt mic) "Cảm ơn."

Trên mic, Mudge nói: “Chính cộng đồng và tất cả những người khác đã kích hoạt tất cả những điều này và tôi yêu cộng đồng này. Điều này có nghĩa rất nhiều với tôi. … Bạn đã luôn ở đó và tôi hy vọng tôi đã ở đó vì bạn.”

Dấu thời gian:

Thêm từ Đọc tối