Pwnie Awards 2021: най-съществените уязвимости и провали в безопасността

Определени са победителите на ежегодната награда Pwnie Awards 2021, която отличава най-забележителните уязвимости и абсурдни провали в областта на компютърната сигурност. Pwnie Awards се счита за аналог на Оскарите и Златната малина в сферата на компютърната сигурност.

Основни победители (списък с кандидати):

• Най-добра уязвимост, водеща до повишаване на привилегиите. Победата е присъдена на компанията Qualys за откритие на уязвимостта CVE-2021-3156 в утилитата sudo, позволяваща получаване на root привилегии. Уязвимостта е била в кода около 10 години и е забележителна с това, че е изисквала задълбочен анализ на логиката на работа на утилитата.
• Най-добра сървърна грешка. Присъжда се за откритие и експлоатация на най-технически сложната и интересна грешка в мрежова услуга. Победата е присъдена за откритие на нов вектор на атаки срещу Microsoft Exchange. Информацията за всички уязвимости от този клас не е публикувана, но вече са разкрити детайли за уязвимостта CVE-2021-26855 (ProxyLogon), позволяваща извличане на данни от произволен потребител без удостоверяване, и CVE-2021-27065, даваща възможност за изпълнение на собствен код с сървър административни права.
• Най-добра криптографска атака. Присъжда се за откритие на най-значителните пропуски в реални системи, протоколи и алгоритми за криптиране. Наградата е присъдена на компанията Microsoft за уязвимостта (CVE-2020-0601) в реализацията на цифрови подписи, базирани на elliptic curves, позволяваща генериране на частни ключове въз основа на публични ключове. Проблемът е позволил създаването на фалшиви TLS сертификати за HTTPS и фалшиви цифрови подписи, които се валидираха в Windows като доверени.
• Най-иновационно изследване. Наградата е присъдена на изследователи, предложили метода BlindSide за заобикаляне на защитата на база рандомизация на адресите (ASLR) с помощта на странични канали, възникващи в резултат на спекулативно изпълнение на инструкции от процесора.
• Най-голямото провал (Най-епичният провал). Наградата беше присъдадена на компанията Microsoft за многократно издадено неработещо обновление за уязвимостта PrintNightmare (CVE-2021-34527) в системата за печат на Windows, което позволява изпълнението на произволен код. Първоначално, Microsoft определи проблема като локален, но по-късно стана ясно, че атаката може да бъде извършена дистанционно. След това Microsoft публикува четири обновления, но всяко от тях разрешаваше само частен случай и изследователите откриваха нови начини за извършване на атаката.
• Най-добрата грешка в клиентския софтуер. Наградата спечели изследовател, който откри уязвимост CVE-2020-28341 в безопасните криптопроцесори на Samsung, получили сертификат за защита CC EAL 5+. Уязвимостта позволяваше напълно да се заобиколи защитата и да се получи достъп до изпълнявания код в чипа и данните, съхранявани в анклава, да се заобиколи блокировката на екрана и също така да се внесат промени в фърмуера за създаване на скрит бекдор.
• Най-недооценената уязвимост. Наградата беше присъдадена на компанията Qualys за откритие на серия уязвимости 21Nails в пощенския сървър Exim, 10 от които могат да се експлоатират дистанционно. Разработчиците на Exim бяха скептични относно възможността за експлоатация на проблемите и похарчихте над 6 месеца за разработка на корекции.
• Най-лемерската реакция на производителя (Най-неадекватен отговор на производителя). Номинация за най-неадекватната реакция на съобщение за уязвимост в собствен продукт. Победител стана компанията Cellebrite, която създава приложения за криминален анализ и извличане на данни от правоохранителните органи. Cellebrite реагира неправилно на съобщението за уязвимости, изпратено от Мокси Марлинспайк, автора на протокола Signal. Мокси прояви интерес към Cellebrite след публикуването на статия в медиите за създаването на технология, позволяваща хакване на криптирани съобщения Signal, която по-късно се оказа фейк поради неправилна интерпретация на информацията в статия на сайта на Cellebrite, която бе премахната ("атаката" изискваше физически достъп до телефона и способността за отключване на екрана, т.е. се свеждаше до преглед на съобщения в мессенджера, но не ръчно, а с помощта на специално приложение, симулиращо действията на потребителя).

  Мокси проучил приложения на Cellebrite и открил критически уязвимости, позволяющие выполнять произвольный код при сканировании специально подготовленных данных. В приложении Cellebrite также зафиксировано использование устаревшей библиотеки ffmpeg, которая не обновлялась на протяжении 9 лет и содержит множество неустранённых уязвимостей. Вместо признания проблем и их устранения, компания Cellebrite опубликовала заявление о заботе о целостности пользовательских данных, поддержании безопасности своих продуктов на должном уровне, регулярном выпуске обновлений и предоставлении лучших приложений в своём классе.
• Главное достижение. Премия вручена Ильфаку Гильфанову, создателю дизассемблера IDA и декомпилятора Hex-Rays, за его вклад в развитие инструментов для исследователей безопасности и поддержание актуальности продукта на протяжении 30 лет.

Източник: opennet.ru