A 2021-es Pwnie Awards díj nyerteseit meghatározták, kiemelve a legfontosabb sebezhetőségeket és abszurd hibákat a számítástechnikai biztonság területén. A Pwnie Awards a számítástechnikai biztonság Oscarjának és Arany Málnájának megfelelője.
Főbb győztesek (jelöltek listája):
- Legjobb privilégium-emelő sebezhetőség. A győzelmet a Qualys cég nyerte el a CVE-2021-3156 sebezhetőség felfedezéséért a sudo eszközben, amely lehetővé teszi a root privilégiumok megszerzését. A sebezhetőség körülbelül 10 évig volt a kódban, és figyelemre méltó, hogy a felfedezéséhez alapos elemzés szükséges.
- Legjobb szerverhiba. A legtechnikai szempontból összetett és érdekes hiba felfedezéséért és kihasználásáért ítélik oda. A győzelmet egy új támadási vektor felfedezéséért kapta a Microsoft Exchange esetében. Nem minden, e típusú sebezhetőségről szóló információ került nyilvánosságra, de már felfedték a CVE-2021-26855 (ProxyLogon) sebezhetőséget, amely lehetővé teszi, hogy adatokat nyerjenek ki egy tetszőleges felhasználótól hitelesítés nélkül, és a CVE-2021-27065-öt, amely lehetőséget ad saját kód futtatására szerveren adminisztrátori jogosultságokkal.
- Legjobb kriptográfiai támadás. A legfontosabb hiányosságok felfedezéséért valós rendszerek, protokollok és titkosítási algoritmusok terén ítélik oda. A díjat a Microsoft kapta a CVE-2020-0601 sebezhetőségért, amely a digitális aláírások ellipszis görbék alapú megvalósításában található, lehetővé téve, hogy nyilvános kulcsok alapján zárt kulcsokat generáljanak. A probléma lehetővé tette hamis TLS tanúsítványok létrehozását HTTPS-hez, és hamis digitális aláírások létrehozását, amelyek a Windows rendszerben megbízhatónak minősülnek.
- Leginnovatívabb kutatás. A díjat azok a kutatók kapták, akik a BlindSide módszert javasolták a címek véletlenszerűsítésén alapuló védelmen (ASLR) való átjutásra, a processzor spekulatív utasítás-végrehajtása során keletkező oldalsó csatornás kiáramlások segítségével.
- A legnagyobb kudarc. Díjat kapott a Microsoft a PrintNightmare (CVE-2021-34527) nyomtatási rendszerének sebezhetőségének többszöri, működésképtelen javítása miatt, amely lehetővé tette a kód végrehajtását. Eleinte a Microsoft lokális problémaként jelezte a hibát, de később kiderült, hogy a támadást távolról is végrehajthatták. A Microsoft négy alkalommal jelentett meg frissítéseket, de minden alkalommal csak egy speciális esetet sikerült orvosolniuk, és a kutatók új módszert találtak a támadás végrehajtására.
- A legjobb hiba a kliensoldali szoftverben. A díjat az a kutató nyerte, aki felfedezte a CVE-2020-28341 sebezhetőséget a Samsung CC EAL 5+ tanúsítvánnyal rendelkező biztonságos kriptoprocesszorokban. A sebezhetőség lehetővé tette a védelem teljes megkerülését és a chipen futó kódhoz, valamint az enclave-ben tárolt adatokhoz való hozzáférést, a képernyővédő zárolásának megkerülését, valamint a firmware módosítását a rejtett hátsó ajtó létrehozása érdekében.
- A legnagyobb alulértékelt sebezhetőség. Díjat kapott a Qualys a 21Nails nevű sebezhetőségek sorozatának felfedezéséért az Exim levelezőrendszerben. szerveren A 10 közül 10 sebezhetőség távolról kihasználható. Az Exim fejlesztői szkeptikusan közelítették meg a problémák kihasználásának lehetőségét, és több mint 6 hónapot töltöttek a javítások kidolgozásával.
- A legnagyobb láma reakció a gyártó részéről. Jelölés a leginkább aránytalan reakcióért a saját termékében felfedezett sebezhetőségről. A győztes a Cellebrite lett, amely alkalmazások fejlesztésével foglalkozik a rendvédelmi szervek számára történő bűnügyi elemzés és adatkinyerés érdekében. A Cellebrite aránytalanul reagált Moxie Marlinspike (Moxie Marlinspike) sebezhetőségekkel kapcsolatos üzenetére, a Signal protokoll szerzőjére. Moxie a Cellebrite iránt érdeklődött, miután a médiában megjelent egy cikk, amely a Signal titkosított üzeneteinek feltörésére irányuló technológia létrehozásáról szólt, amely később hamisnak bizonyult a Cellebrite weboldalán található cikk félreértelmezése miatt, amelyet azután eltávolítottak (az „támadás” fizikai hozzáférést igényelt a telefonhoz és a képernyő feloldásának lehetőségét, tehát az üzenetek megtekintésére korlátozódott a messengeren, de nem kézzel, hanem egy speciális alkalmazás segítségével, amely a felhasználó cselekedeteit szimulálta).
A Moksi felfedezte a Cellebrite alkalmazásait, és kritikus sebezhetőségeket talált, amelyek lehetővé tették a tetszőleges kód végrehajtását, amikor megpróbálták beolvasni a gondosan kialakított adatokat. A Cellebrite alkalmazásban egy elavult ffmpeg könyvtár használata is megállapításra került, amely 9 éve nem volt frissítve, és számos javítatlan sebezhetőséget tartalmazott. Ahelyett, hogy elismerték volna a problémákat és foglalkoztak volna a helyreállításukkal, a Cellebrite nyilatkozatot adott ki arról, hogy törődik a felhasználói adatok integritásával, fenntartja a termékeinek biztonságát megfelelő szinten, rendszeresen kiad frissítéseket, és a legjobb alkalmazásokat kínálja a maga területén.
- A legnagyobb elismerés. A díjat Ilfak Guillfanovnak, az IDA visszafejtő és a Hex-Rays dekompiláló szerzőjének ítélték oda, aki hozzájárult a biztonsági kutatók számára készült eszközök fejlesztéséhez, és 30 éven át képes volt fenntartani a termék aktuális állapotát.
Forrás: opennet.ru
