Snyks Fetch the Flag CTF ist mehr als nur ein CTF

Seit 2023 veranstaltet Snyk gemeinsam mit John Hammond „Fetch the Flag“, ein 12-stündiges CTF-Event für Tausende Sicherheitsexpertinnen und -experten, Praktikerinnen und Praktiker sowie Mitglieder der DevOps-Community!

Capture the Flag hat jedoch manchmal einen schlechten Ruf … und gelegentlich wird kritisiert, diese Übungen seien nicht „realitätsnah“ oder praxisbezogen. Das könnte nicht weiter von der Wahrheit entfernt sein! 

Viele CTF-Challenges sind von realen Schwachstellen, Hacks und Exploits inspiriert, die in freier Wildbahn beobachtet wurden, oder bilden diese sogar nach. Bei unserem letzten Event, Snyks Fetch the Flag 2023, bezogen sich einige Aufgaben auf reale Vorfälle.

Schwelgen Sie in Erinnerungen und sehen Sie sich einige der früheren Fetch the Flag-Challenges an, die auf denselben technischen Konzepten und Taktiken basieren, die wir auch in der Branche beobachten – und freuen Sie sich auf Fetch the Flag 2025!

Protecting Camp – Unsichere Zugriffskontrolle

Bei dieser Challenge mussten die Teilnehmenden versteckte Daten auf einer Website mit Camping-Checkliste aufdecken, die durch unsichere Zugriffskontrollen verwundbar war. Die Beschreibung der Challenge deutete an: „Ich habe eine kleine Website erstellt, um eine Liste mit Dingen zu führen, die ich fürs Camping brauche. Vielleicht schützt sie ja auch noch andere Dinge!”​

In der Anwendung führt der Nutzer eine Einkaufsliste, auf der auch eine geheime Antwort gespeichert ist – die Flag! Doch die Flag ist an einem versteckten Endpunkt verborgen, der nur lokal erreichbar ist. Die Teilnehmenden nutzten die unsichere Funktion der App-API und die Art und Weise, wie diese Metadaten zu angebotenen Artikeln abrief. Mit einer speziell präparierten Anfrage konnten sie auf Daten zugreifen, die ihnen niemals zugänglich sein sollten!

Lesen Sie diesen Bericht eines Community-Mitglieds und CTF-Teilnehmers. 

Unzureichende Zugriffskontrollen gehören zu den OWASP Top 10 und haben zu zahlreichen Datenlecks geführt. So entdeckten Sicherheitsforscher im September 2023 beispielsweise eine Fehlkonfiguration in Azure Power Apps, bei der bestimmte App-Endpunkte öffentlich zugänglich waren und mehr als 38 Millionen Datensätze offenlegten – ein Missgeschick, das sehr daran erinnert, sensible Daten in einer gewöhnlichen App zu verstecken​.

Sparky – Apache Spark Shell-RCE (CVE-2022-33891)

Die Challenge „Sparky“ bildete die reale Schwachstelle CVE-2022-33891 nach. Den Teilnehmenden wurde eine Apache-Spark-Instanz präsentiert, auf der sie die Schwachstelle entdecken und Proof-of-Concept-Exploit-Skripte nutzen konnten, um den Server zu kompromittieren.

Lesen Sie diesen Bericht eines Community-Mitglieds und CTF-Teilnehmers. 

In Apache Spark 3.1.1 (und bestimmten späteren Versionen) konnte ein Angreifer eine ACL-Authentifizierungsfilterung umgehen und Shell-Befehle als Spark-Servicebenutzer ausführen, wenn ein Administrator den Filter aktiviert hatte. Ein gutes Beispiel für eine klassische Remote-Code-Execution-Schwachstelle!

Die Schwachstelle CVE-2022-33891 wurde in freier Wildbahn vielfach von Malware-Betreibern und Cyberkriminellen ausgenutzt. Im Dezember 2022 beobachtete Microsoft, wie das „ZeroBot“-Botnet diese Schwachstelle nutzte, um Malware auf betroffenen Systemen einzuschleusen und zu verbreiten. CISA nahm CVE-2022-33891 Anfang 2023 sogar in seinen Katalog bekanntermaßen ausgenutzter Schwachstellen auf und wies darauf hin, dass Angreifer die Schwachstelle aktiv ausnutzten​! 

GetHub – GitPython-RCE (CVE-2022-24439)

Eine unsichere Entwicklungsbibliothek war anfällig für Command Injection und erhielt die Bezeichnung CVE-2022-24439. Dazu gibt es sogar einen Eintrag in der Snyk Vulnerability Database!

Die GitPython-Bibliothek für Python bereinigte Git-Befehle in Versionen vor 3.1.30 nicht ordnungsgemäß. Bei dieser „GetHub“-CTF-Challenge sollten die Teilnehmenden eine Anwendung nutzen, um verschiedene Github-Repositories zu klonen und herunterzuladen – doch mit ein paar cleveren Syntax-Tricks konnten sie beliebige Befehle ausführen! Command Injection ermöglicht ganz einfach eine weitere Remote-Code-Execution-Schwachstelle (RCE).

RCE-Schwachstellen in Software-Supply-Chain-Tools (insbesondere weit verbreiteten Bibliotheken und Abhängigkeiten) wie GitPython sind kritisch, auch wenn bislang kein öffentlich bekannt gewordener Sicherheitsvorfall direkt auf diese CVE zurückgeführt wurde. Das Risiko ist dennoch real! GitPython kommt in zahlreichen CI/CD-Pipelines und Anwendungen zum Einsatz. 2023 trat ein eng verwandtes Problem auf – CVE-2023-40267 –, eine unzureichende Behebung dieses Fehlers, durch die Codeausführung über präparierte Repository-URLs weiterhin möglich war​. Bedrohungen der Supply Chain sind nach wie vor viel zu verbreitet. Deshalb müssen wir gemeinsam Bugs finden und beheben!

Bereit für Snyks Fetch the Flag CTF 2025?

Die drei oben genannten Challenges sind nur einige der mehr als 20 Challenges, die beim Fetch the Flag CTF von Snyk 2023 dabei waren … doch 2025 erwartet Sie noch viel mehr!

Nehmen Sie am 27. Februar von 9 bis 21 Uhr EST am Wettbewerb teil und stellen Sie sich zwölf Stunden lang neuen Herausforderungen aus klassischen CTF-Kategorien wie Web-App-Sicherheit, Binary-Exploitation, Cloud-Sicherheit und mehr! Melden Sie sich allein an oder treten Sie einem Team mit bis zu fünf Personen bei. Preise gibt es für die drei besten Teams und die drei besten Einzelspieler. Viel Erfolg und viel Spaß!