Определени победители на ежегодните награди Pwnie Awards 2021, които подчертават най-значимите уязвимости и абсурдни провали в областта на компютърната сигурност. Pwnie Awards се счита за аналог на Оскарите и Златната малина в компютърната сигурност.
Основни победители (списък на кандидатите):
- Най-добрата уязвимост, водеща до повишаване на привилегиите. Наградата е присъдена на компанията Qualys за откритие на уязвимостта CVE-2021-3156 в утилитата sudo, което позволява получаване на root привилегии. Уязвимостта е била налична в кода около 10 години и е забележителна с това, че за нейното откритие е било необходимо внимателно разглеждане на логиката на работата на утилитата.
- Най-добрата сървърна грешка. Присъжда се за откритие и експлоатация на най-технически сложната и интересна грешка в мрежова услуга. Наградата е присъдена за откритие на нов вектор на атака върху Microsoft Exchange. Информацията за всички уязвимости от този клас не е публикувана, но вече са разкрити данни за уязвимостта CVE-2021-26855 (ProxyLogon), позволяваща извличане на данни от произволен потребител без аутентификация, и CVE-2021-27065, даваща възможност за изпълнение на собствения код с права администратора. сървър с правата на администратора.
- Най-добрата криптографска атака. Присъжда се за откритие на най-значимите дупки в реалните системи, протоколи и алгоритми за криптиране. Наградата е присъдена на компанията Microsoft за уязвимост (CVE-2020-0601) в реализацията на цифровите подписи, базирани на елиптични криви, позволяваща генериране на частни ключове от публични ключове. Проблемът е позволил създаването на фалшиви TLS сертификати за HTTPS и фалшиви цифрови подписи, които да се удостоверяват в Windows като надеждни.
- Най-иновационното изследване. Наградата е присъдена на изследователите, предложили метода BlindSide за заобикаляне на защитата, базирана на рандомизация на адресите (ASLR), чрез използване на странични канали, произтичащи от спекулативно изпълнение на инструкции от процесора.
- Най-голямата провал (Most Epic FAIL). Наградата е присъдена на компанията Microsoft за многократно издадено неработещо решение на уязвимостта PrintNightmare (CVE-2021-34527) в системата за печат на Windows, позволяваща изпълнението на собствен код. Първоначално компанията Microsoft маркира проблема като локален, но по-късно стана ясно, че атаката може да бъде извършена отдалеч. След това Microsoft публикува четири актуализации, но всеки път решението покриваше само конкретен случай и изследователите откриваха нов начин за осъществяване на атака.
- Най-добрата грешка в клиентския софтуер. Победител е изследователят, открил уязвимостта CVE-2020-28341 в безопасните криптопроцесори на Samsung, сертифицирани по CC EAL 5+. Уязвимостта позволяваше да се заобиколи защитата напълно и да се получи достъп до изпълнявания на чипа код и съхраняваните в анклав данни, да се заобиколи блокирането на екрана, както и да се внесат промени в фърмуера за създаване на скрит бекдор.
- Най-недооценената уязвимост. Наградата е присъдена на компанията Qualys за откритие на серия уязвимости 21Nails в пощенския сървър Exim, 10 от които могат да бъдат експлоатирани отдалеч. Разработчиците на Exim скептично оцениха възможността за експлоатация на проблемите и прекараха над 6 месеца в разработка на решения.
- Най-ламерската реакция на производителя (Lamest Vendor Response). Номинацията за най-недостатъчната реакция на съобщение за уязвимост в собствения продукт. Победител е компанията Cellebrite, занимаваща се с приложения за криминалистичен анализ и извличане на данни от правоохранителните органи. Cellebrite реагира неадекватно на съобщението за уязвимости, изпратено от Мокси Марлинспайк (Moxie Marlinspike), автора на протокола Signal. Мокси се заинтересува от Cellebrite след публикация в медиите за технология, позволяваща хакване на криптирани съобщения Signal, която се оказа фалшива поради неправилна интерпретация на информация в статия на сайта на Cellebrite, която по-късно беше премахната ("атаката" изисква физически достъп до телефона и способност за отключване на екрана, т.е. сводеше се до разглеждане на съобщения в Messenger, но не ръчно, а с помощта на специално приложение, симулиращо действия на потребителя).
Moxie изследва приложенията на Cellebrite и откри там критични уязвимости, които позволяват изпълнението на произволен код при опит за сканиране на специално подготвени данни. В приложението Cellebrite също така беше установено, че се използва остаряла библиотека ffmpeg, която не е обновявана от 9 години и съдържа множество нерешени уязвимости. Вместо да признае проблемите и да се заеме с коригирането им, компанията Cellebrite публикува заявление, че се грижи за целостта на данните на потребителите, поддържа сигурността на своите продукти на необходимо ниво, редовно издава актуализации и предлага най-добрите приложения в своя клас.
- Най-голямото постижение. Наградата беше присъдена на Ильфак Гилфанов, автора на дизасемблера IDA и декомпилятора Hex-Rays, за приноса му в разработването на инструменти за изследователи на сигурността и способността му да поддържа актуален продукт в продължение на 30 години.
Източник: opennet.ru
