Byli oznámeni vítězové každoroční ceny Pwnie Awards 2021, která vyzdvihuje nejvýznamnější zranitelnosti a absurdní selhání v oblasti počítačové bezpečnosti. Pwnie Awards je považována za obdobu Oscara a Zlaté maliny v oblasti počítačové bezpečnosti.
Hlavní vítězové (seznam nominací):
- Nejlepší zranitelnost vedoucí ke zvýšení oprávnění. Vítězství bylo uděleno společnosti Qualys za odhalení zranitelnosti CVE-2021-3156 v nástroji sudo, která umožňuje získat oprávnění root. Zranitelnost byla přítomna v kódu přibližně 10 let a vyniká tím, že pro její odhalení byla potřeba podrobná analýza logiky fungování nástroje.
- Nejlepší serverová chyba. Uděluje se za odhalení a využití technicky nejnáročnější a nejzajímavější chyby v síťové službě. Vítězství bylo uděleno za odhalení nového vektoru útoků na Microsoft Exchange. Informace o všech zranitelnostech této kategorie nebyly zveřejněny, ale již byla odhalena zranitelnost CVE-2021-26855 (ProxyLogon), která umožňuje získat data libovolného uživatele bez autentizace, a CVE-2021-27065, která umožňuje spustit vlastní kód s právy administrátora. serveru s právy administrátora.
- Nejlepší kryptografický útok. Uděluje se za odhalení nejvýznamnějších mezer v reálných systémech, protokolech a šifrovacích algoritmech. Cena byla udělena společnosti Microsoft za zranitelnost (CVE-2020-0601) v implementaci digitálních podpisů založených na eliptických křivkách, která umožňuje generovat soukromé klíče na základě veřejných klíčů. Problém umožňoval vytvořit falešné TLS certifikáty pro HTTPS a nepravdivé digitální podpisy, které byly ve Windows ověřovány jako důvěryhodné.
- Nejinovativnější výzkum. Cena byla udělena výzkumníkům, kteří navrhli metodu BlindSide pro obcházení ochrany založené na randomizaci adres (ASLR) pomocí úniků informací skrze vedlejší kanály, které vznikají v důsledku spekulativního vykonávání instrukcí procesorem.
- Největší propadák. Cenu získala společnost Microsoft za opakované vydávání nefunkčního opravy zranitelnosti PrintNightmare (CVE-2021-34527) v tiskovém systému Windows, která umožňovala spuštění vlastního kódu. Původně společnost Microsoft označila problém jako lokální, ale brzy se ukázalo, že útok lze provést na dálku. Poté Microsoft čtyřikrát zveřejnil aktualizace, ale pokaždé oprava řešila pouze konkrétní případ a výzkumníci nacházeli nový způsob, jak provést útok.
- Nejlepší chyba v klientském softwaru. Vyhrál výzkumník, který odhalil zranitelnost CVE-2020-28341 v bezpečných kryptoprocesorech Samsung, které získaly certifikaci bezpečnosti CC EAL 5+. Zranitelnost umožnila zcela obejít ochranu a získat přístup k běžícímu kódu na čipu a datům uloženým v enclávu, obcházet zamykání obrazovky a také provádět změny ve firmwaru k vytvoření skrytého b backdooru.
- Nejvíce podceňovaná zranitelnost. Cenu získala společnost Qualys za odhalení řady zranitelností 21Nails v poštovním. serveru Exim, z nichž 10 může být zneužito na dálku. Vývojáři Exim se skepticky postavili k možnosti zneužití problémů a strávili více než 6 měsíců vývojem oprav.
- Nejhloupější reakce dodavatele. Nominace za nejneadekvátnější reakci na zprávu o zranitelnosti ve vlastním produktu. Vítězem se stala společnost Cellebrite, která se zabývá vytvářením aplikací pro kriminální analýzu a extrakci dat pro orgány činné v trestním řízení. Cellebrite nereagovala adekvátně na zprávu o zranitelnostech, kterou poslal Moxie Marlinspike, autor protokolu Signal. Moxie se o Cellebrite zajímal po zveřejnění článku v médiích o vývoji technologie, která měla umožnit hacking šifrovaných zpráv Signal, která se následně ukázala jako fake kvůli nesprávné interpretaci informací v článku na webových stránkách Cellebrite, který byl později stažen ("útok" vyžadoval fyzický přístup k telefonu a možnost odemknout obrazovku, tedy šlo o zobrazení zpráv v messengeru, ale ne ručně, nýbrž pomocí speciální aplikace, která simulovala akce uživatele).
Moxxi prozkoumal aplikace Cellebrite a objevil kritické zranitelnosti, které umožňovaly vykonávání libovolného kódu při pokusu o skenování speciálně upravených dat. V aplikaci Cellebrite také byl zjištěn fakt použití zastaralé knihovny ffmpeg, která nebyla aktualizována 9 let a obsahovala řadu neopravených zranitelností. Místo toho, aby společnost Cellebrite uznala problémy a začala je řešit, zveřejnila prohlášení, že dbá na integritu dat uživatelů, udržuje bezpečnost svých produktů na odpovídající úrovni, pravidelně vydává aktualizace a poskytuje nejlepší aplikace ve svém oboru.
- Největší úspěch. Cena byla udělena Ilfaku Gilfanovovi, autoru disassembleru IDA a dekompilátoru Hex-Rays, za jeho přínos k vývoji nástrojů pro bezpečnostní výzkumníky a jeho schopnost udržovat aktuální produkt po dobu 30 let.
Zdroj: opennet.ru
