На прошедшей в Лас Вегасе конференции Black Hat состоялась (https://www.theregister.co.uk/2017/07/28/black_hat_pwnie_awa... церемония вручения премии Pwnie Awards 2017 (https://pwnies.com), в рамках которой выделены наиболее значительные уязвимости и абсурдные провалы в области компьютерной безопасности. Pwnie Awards считается аналогом Оскара в области компьютерной безопасности и проводится ежегодно, начиная с 2007 года.
Основные номинации (https://pwnies.com/nominations):
-
Самый ламерский ответ вендора
(Lamest Vendor Response). Номинация за самую неадекватную реакцию на сообщение об уязвимости в собственном продукте. Победителем признан Леннарт Поттеринг (Lennart Poettering) за систематическое непризнание уязвимостей и внесение исправлений без указания в списке изменений или тексте коммитов упоминаний CVE и отношении исправления к проблемам с безопасностью. В качестве примеров приводятся сообщения об ошибках 5998 (https://github.com/systemd/systemd/pull/5998), 6225 (https://github.com/systemd/systemd/pull/6225), 6214 (https://github.com/systemd/systemd/pull/6214), 5144 (https://github.com/systemd/systemd/issues/5144) и 6237 (https://github.com/systemd/systemd/issues/6237) с разыменованиями нулевых указателей, записью за пределы буфера и даже запуском сервисов с повышенными привилегиями, которые Поттеринг отказался рассматривать как уязвимости.
- В качестве претендента на получение премии также рассматривался проект Nomx, которые позиционировался как реализация наиболее защищённого коммуникационного протокола, а на деле оказался (https://www.opennet.ru/opennews/art.shtml?num=46466) примером наплевательского отношения к безопасности.
- На получение премии также претендовал Simon Smith за его работу по написанию запросов на удаление роликов в Youtube и заметок в блогах, в которых публиковались сведения об уязвимостях в его продуктах 1IQ, eVestigator, RPL Central и Official Intelligence (коммерческие форки Onion Browser и разных открытых мобильных приложений).-
Лучшая серверная ошибка
. Присуждается за выявление и эксплуатацию наиболее технически сложной и интересной ошибки в сетевом сервисе. Премия присуждена группе Equation, которая связывается с деятельностью Агентства Национальной Безопасности США (АНБ), за подготовку эксплоитов для атаки на Windows SMB, которые были опубликованы (https://www.opennet.ru/opennews/art.shtml?num=46382) командой Shadow Brokers вместе с порцией других данных, полученных в результате утечки информации из АНБ. Из не получивших премию претендентов можно отметить:
- Критическая уязвимость (https://www.opennet.ru/opennews/art.shtml?num=45215) (CVE-2016-6309) в OpenSSL, которая образовалась в результате исправления другой неопасной уязвимости и могла привести к выполнению кода злоумышленника при обработке отправленных им пакетов;
- Уязвимостт Cloudbleed (https://www.opennet.ru/opennews/art.shtml?num=46100) &n...- утечка неинициализированных отрывков оперативной памяти прокси-серверов Cloudflare;
- CVE-2017-0290 - удалённый запуск кода в Microsoft WinDefender;
- CVE-2017-5689 - обход аутентификации (https://www.opennet.ru/opennews/art.shtml?num=46482) в технологии Intel AMT;
- CVE-2016-6432 - удалённый запуск кода в Cisco ASA.-
Лучшая ошибка в клиентском ПО
. Победителем признана уязвимость
в Microsoft Office (CVE-2017-0199), позволявшая организовать выполнение кода через манипуляцию с OLE-объектами. На получение премии также претендовали:
- Уязвимость (https://www.opennet.ru/opennews/art.shtml?num=45700) в gstreamer-плагине для обработки музыкального формата SNES, который воспроизводил SNES через эмуляцию машинных кодов звукового процессора Sony SPC700 при помощи эмулятора Game Music Emu;
- Серия уязвимостей (https://googleprojectzero.blogspot.ru/2016/12/chrome-os-expl... позволивших получить root-доступ в Chrome OS;
- Уязвимости CVE-2016-5197 и CVE-2016-5198, позволившие (https://www.slideshare.net/CanSecWest/qidan-hegengming-liuca... получить полный контроль над Android Nougat при открытии специальной страницы в Chrome.
-
Лучшая уязвимость, приводящая к повышению привилегий
. Победа присуждена создателям атаки Drammer, которая позволяет получить привилегии root на платформе Android не эксплуатируя явных уязвимостей в ПО, а пользуясь уязвимостью чипов памяти DRAM (RowHammer (https://www.opennet.ru/opennews/art.shtml?num=41340), позволяет исказить содержимое отдельных битов памяти путём цикличного чтения данных из соседних ячеек памяти). На получение премии также претендовали:
- Уязвимость (https://www.opennet.ru/opennews/art.shtml?num=46322) (CVE-2017-7228) в Xen, позволяющая получить доступ ко всей системной памяти из гостевой системы;
- root-Уязвимость (https://www.opennet.ru/opennews/art.shtml?num=46281) в ядре Linux (CVE-2017-7184), применённая (https://www.opennet.ru/opennews/art.shtml?num=46213) &n...на конкурсе Pwn2Own для атаки на Ubuntu;
- Серия уязвимостей (https://bugs.chromium.org/p/project-zero/issues/detail?id=837), связанных с применением структур task_t;
- Уязвимость Blitzard (http://keenlab.tencent.com/en/2016/07/29/The-Journey-of-a-co... (CVE-2016-1815) в ядре macOS.-
Лучшая криптографическая атака
. Присуждается за выявление наиболее значимых брешей в реальных системах, протоколах и алгоритмах шифрования. Премия присуждена команде, разработавшей (https://www.opennet.ru/opennews/art.shtml?num=46091) практический метод (https://www.opennet.ru/opennews/art.shtml?num=46102) генерации коллизии для SHA-1. Претендентами на получение премии также были:
- FFS (https://www.opennet.ru/opennews/art.shtml?num=44968) (Flip Feng Shui), метод скрытого изменения памяти чужих виртуальных машин;
- Атака на RFC 7516 (JSON Web Encryption, JWE), позволяющая отправителю извлечь закрытый ключ получателя.
-
Лучший бэкдор
. Присуждается за представление или обнаружение бэкдора, наиболее изощрённого с технической точки зрения или опасного с точки зрения широты распространения. Премия присуждена системе документооборота [[https://ru.wikipedia.org/wiki/M.E.Doc M.E.Doc]], в составе майского обновления которой на системы пользователей был установлен бэкдор, а через июньское обновление распространено вымогательское ПО NotPetya. Претендентами на получение премии был бэкдор (https://www.opennet.ru/opennews/art.shtml?num=44395) в отладочном коде модифицированного ядра Linux для систем Allwinner и бэкдор в SonicWall GMS.-
Лучший брендинг
. Присуждается на наиболее заметное продвижение информации об уязвимости как продукта. Последнее время уязвимости используются как инфоповод для своего продвижения. Для уязвимостей запускают отдельные сайты, создают логотипы и присваивают заметные имена. Победа в данной номинации присуждена уязвимости GhostButt (http://ghostbutt.com/) (CVE-2017-8291) для которой даже была написана своя песня. Претенденты: RingRoad (http://www.ringroadbug.com/), DirtyCOW (http://dirtycow.ninja/), Cloudbleed (https://bugs.chromium.org/p/project-zero/issues/detail?id=11....-
Наиболее инновационное исследование
. Премия прусуждена авторам новой техники (https://www.opennet.ru/opennews/art.shtml?num=46062) обхода механизма защиты ASLR (Address space layout randomization), которая может быть реализована на языке JavaScript и использована при эксплуатации уязвимостей в web-браузерах. На получение премии претендовали:
- Инструментарий fuzzing-тестирования Fuzzy Lop (http://lcamtuf.coredump.cx/afl/);
- Демонстрация (https://www.youtube.com/watch?v=PQF5QPCsNS0) перехвата звонков/SMS и создания фиктивных звонков/SMS от другого пользователя в сотовых LTE-сетях;
- Инструмент для выявления уязвимостей Bochspwn Reloaded (http://j00ru.vexillium.org/?p=3295); техника атаки Drammer (https://vvdveen.com/publications/drammer.pdf).
-
Наиболее раздутое объявление об уязвимости
. Присуждается за наиболее пафосное и масштабное освещение проблемы в интернете и СМИ, особенно если в итоге уязвимость оказывается неэксплуатируема на практике. В номинации также упомянуты:
- Уязвимость Di...URL: https://www.theregister.co.uk/2017/07/28/black_hat_pwnie_awards/
Новость: http://www.opennet.ru/opennews/art.shtml?num=46943
Ну хоть где-то Леню оценили по достоинству :)
> Ну хоть где-то Леню оценили по достоинству :)Жаль, что до редхата не дойдёт, что некоторых пороть надо для профилактики...
>> Ну хоть где-то Леню оценили по достоинству :)
> Жаль, что до редхата не дойдёт, что некоторых пороть надо для профилактики...Боюсь, тут это не поможет.
Леня любит БДСМ, он же с 3-го рейха.
Он родился в бедных кварталах Бразилии!
Зачем пороть курицу, несущую золотые яйца?
Чтоб несла лучше.
Лёня, судя по реакции на сообщения об уязвимостях, постоянно несёт не золотые яйца, а какую-то наркоманскую хрень.
> Лёня, судя по реакции на сообщения об уязвимостях, постоянно несёт не золотые
> яйца, а какую-то наркоманскую хрень.Одно другому абсолютно не мешет. Особенно в разных местах и разной ЦА.
>> Ну хоть где-то Леню оценили по достоинству :)
> Жаль, что до редхата не дойдётВы так говорите, как будто бы Вам известны все решения задачи трех тел,.....
> некоторых пороть надо для профилактики...
А так же, Вы достоверно знаете куда этим трем (да и не только трем, а и всем остальным телам) необходимо двигаться. И не только в данную эпоху, но и "на все времена"!
Здается мне, что там (и не только там), наверняка есть, положительные моменты (смотря для кого? ;) И погода зимой в России,...
> Вы так говорите, как будто бы Вам известны все решения задачи трех тел,.....Тел в этой задачке в нулевом приближении два, как мне кажется -- явно поймавший звёздную Леннарт и вот этот персонаж: https://arstechnica.com/information-technology/2012/02/how-r.../
>> Вы так говорите, как будто бы Вам известны все решения задачи трех тел,.....
> Тел в этой задачке в нулевом приближении два, как мне кажется --
> явно поймавший звёздную Леннарт и вот этот персонаж: https://arstechnica.com/information-technology/2012/02/how-r.../Не читал, но осуждаю ;) Обязательно прочитаю (вдумчиво). Хотя, и так все понятно, billion-dollar(s) побеждают даже зло :(
>Жаль, что до редхата не дойдёт, что некоторых пороть надо для профилактики...Слишком добрый царь.
Мы думали Лёня хороший, а он вон какой!
> Ну хоть где-то Леню оценили по достоинству :)Не верьте -- всё сикьюрити сёркус ! Линус Торвальдс и Микрософт гарантируют это.
Леня, так держать!
Вот кстати:
ЦРУ разработало вирусы для взлома Mac и Linux. Wikileaks опубликовал новые документы о кибершпионаже.Aeris предназначена для кражи информации с электронных носителей и адаптирована под Linux. Этот автоматизированный имплант написан на языке C и может поражать множество дистрибутивов, в том числе — Debian, Red Hat, Solaris, FreeBSD и CentOS. В Wikileaks утверждают, что это ПО функционирует по принципам бэкдоров — намеренных дефектов алгоритмов, заточенных под конкретные операции. Wikileaks утверждает, что Aeris поддерживает автоматическую фильтрацию файлов, автономную поддержку протокола HTTPS LP и поддержку протокола SMTP. Все это — с зашифрованной связью TLS со взаимной аутентификацией.
(http://safe.cnews.ru/news/top/2017-07-28_wikileaks_tsru_razr...
Для cnews нужно отдельную номинацию заводить, в заголовке "вирусы для _взлома_ Mac и Linux", а на деле и в тексте говориться про бэкдор, который нужно устанавливать на уже взломанную систему.
Могли бы broadpwn (CVE-2017-9417) хоть как-то упомянуть.
Прошу не путать с CVE-2017-6975 -- также не менее опасной для тех, кто пользуется публичным точками доступа.
M.E.DocCredit: Totally Not Russia
To prepare their taxes, folks the world over install janky software developed for a captive market of their nation's tax laws. In Ukraine, accountants who installed M.E.Doc received a backdoor in the gig and a half of their full installation. The backdoor used M.E.Doc's own servers for command and control, allowing the network operator to target commands to publicly known tax identification numbers! And yes, this is the alleged patient zero for the NotPetya ransomware that appeared in June, just before Ukraine's Constitution Day.
--Мощно!!!
Да, наш барыжный Медок засветился...
Эх, забыли, как Amazon s3 легло на полдня, что повлияло на работу многих сайтов. Было эпично!
Поттер все же получил признание :D
> https://github.com/systemd/systemd/pull/5998 с разыменованиями нулевых указателей,Традиция-с.
https://bugs.freedesktop.org/show_bug.cgi?id=74589
Richard Weinberger 2014-02-05 21:57:47 UTC
> Summary: systemd segfaults if no cgroups are available
> On systems without cgroups (like linux containers) systemd takes the following branch in manager_setup_cgroup()
> ...
> But later it dies due to a NULL pointer exception in unit_default_cgroup_path().Lennart Poettering 2014-02-21 13:49:25 UTC
> To make this work we'd need a patch, as nobody of us tests this.
>
"Pwnie Awards считается аналогом Оскара в области компьютерной безопасности"
Оскар не вручают за провалы, цензореды.
> "Pwnie Awards считается аналогом Оскара в области компьютерной безопасности"
> Оскар не вручают за провалы, цензореды.Да он сам по себе нынче, говорят, провал -- даже без Ди Каприо по ангажированности уже нобелевку догоняет, как мне кажется. В этом смысле нынешние pwnie и впрямь не аналог.
>> "Pwnie Awards считается аналогом Оскара в области компьютерной безопасности"
>> Оскар не вручают за провалы, цензореды.
> Да он сам по себе нынче, говорят, провал -- даже без Ди
> Каприо по ангажированности уже нобелевку догоняет, как мне кажется. В
> этом смысле нынешние pwnie и впрямь не аналог.Шигорин, почему твоих ответов осталось после чистки больше всего? Сам и чистил?
> Шигорин, почему твоих ответов осталось после чистки больше всего? Сам и чистил?Он участник соцсоревнования и не собирается отставать от загнивающего запада в вопросах ангажированности!
Что не так с Ди Каприо? Один из лучших актёров современности. Ему бы Ленина ещё сыграть и можно почивать на лаврах.
> ... считается аналогом Оскара ...Скорее "Золотой малины".
1 "Золотая малина", а не "Оскар".
2 Ламерскую наминацию с Лёней нужно было вставить в самом конце и преподнести её как вишенку на торте.
Прочитав эту номинацию. я был уже не в состоянии читать остальное. Эмоции от того, что всё такие есть где-то справедливость и адекватные люди меня уже переполнили.
> 1 "Золотая малина", а не "Оскар".
> 2 Ламерскую наминацию с Лёней нужно было вставить в самом конце и
> преподнести её как вишенку на торте.
> Прочитав эту номинацию. я был уже не в состоянии читать остальное. Эмоции
> от того, что всё такие есть где-то справедливость и адекватные люди
> меня уже переполнили.A в оригинале так и есть (Леня в конце)! :)