Sono stati decretati i vincitori del premio annuale Pwnie Awards 2021, che mette in evidenza le vulnerabilità più significative e i fallimenti surreali nel campo della sicurezza informatica. I Pwnie Awards sono considerati l'equivalente dell'Oscar e del Golden Raspberry nel campo della sicurezza informatica.
Principali vincitori (elenco dei candidati):
- Migliore vulnerabilità che porta all'elevazione dei privilegi. La vittoria è stata assegnata all'azienda Qualys per l'identificazione della vulnerabilità CVE-2021-3156 nell'utilità sudo, che consente di ottenere privilegi di root. La vulnerabilità era presente nel codice per circa 10 anni ed è notevole perché per la sua individuazione è stata necessaria un'analisi approfondita della logica di funzionamento dell'utilità.
- Miglior errore server. Assegnato per l'identificazione e l'exploitation dell'errore più tecnicamente complesso e interessante in un servizio di rete. La vittoria è stata assegnata per la scoperta di un nuovo vettore di attacco su Microsoft Exchange. Non tutte le vulnerabilità di questa classe sono state pubblicate, ma sono già state rivelate informazioni sulla vulnerabilità CVE-2021-26855 (ProxyLogon), che consente di estrarre dati di un qualsiasi utente senza autenticazione, e CVE-2021-27065, che consente di eseguire il proprio codice con server privilegi di amministratore.
- Miglior attacco crittografico. Assegnato per l'identificazione delle vulnerabilità più significative nei sistemi, protocolli e algoritmi di crittografia reali. Il premio è stato assegnato all'azienda Microsoft per la vulnerabilità (CVE-2020-0601) nell'implementazione delle firme digitali basate su curve ellittiche, che permette di generare chiavi private a partire da chiavi pubbliche. Il problema consentiva di creare certificati TLS falsi per HTTPS e firme digitali fasulle che venivano verificate in Windows come affidabili.
- Miglior ricerca innovativa. Il premio è stato assegnato ai ricercatori che hanno proposto il metodo BlindSide per bypassare la protezione basata sulla randomizzazione degli indirizzi (ASLR) tramite perdite attraverso canali laterali, che si verificano a causa dell'esecuzione speculativa delle istruzioni da parte del processore.
- Il più grande fallimento (Most Epic FAIL). Il premio è stato assegnato a Microsoft per aver rilasciato ripetutamente una patch non funzionante per la vulnerabilità PrintNightmare (CVE-2021-34527) nel sistema di stampa di Windows, che consente l'esecuzione di codice arbitrario. Inizialmente, Microsoft aveva classificato il problema come locale, ma si è poi scoperto che l'attacco poteva essere portato a termine da remoto. Successivamente, Microsoft ha pubblicato quattro aggiornamenti, ma ogni volta la correzione risolveva solo un caso specifico e i ricercatori trovavano un nuovo modo per attaccare.
- Il miglior errore nel software client. Ha vinto il ricercatore che ha identificato la vulnerabilità CVE-2020-28341 nei processori criptografici sicuri di Samsung, certificati con il livello di sicurezza CC EAL 5+. La vulnerabilità consentiva di aggirare completamente la protezione e accedere al codice eseguito sul chip e ai dati memorizzati nell'enclave, di bypassare il blocco dello schermo e di apportare modifiche al firmware per creare un backdoor nascosto.
- La vulnerabilità più sottovalutata. Il premio è stato assegnato a Qualys per aver identificato una serie di vulnerabilità 21Nails nel servizio di posta elettronica server Exim, 10 delle quali possono essere sfruttate da remoto. Gli sviluppatori di Exim hanno accolto con scetticismo la possibilità di sfruttare i problemi e hanno impiegato più di 6 mesi per sviluppare le correzioni.
- La risposta più ridicola del produttore (Lamest Vendor Response). Nomina per la reazione più inadeguata a un avviso di vulnerabilità nel proprio prodotto. La vincitrice è stata Cellebrite, un'azienda che crea applicazioni per l'analisi forense e l'estrazione di dati per le forze dell'ordine. Cellebrite ha reagito in modo inadeguato alla segnalazione delle vulnerabilità inviata da Moxie Marlinspike, l'autore del protocollo Signal. Moxie si è interessato a Cellebrite dopo che un articolo sui media ha pubblicato una nota sulla creazione di una tecnologia per violare i messaggi criptati di Signal, che si è poi rivelata un fake a causa di un'interpretazione errata delle informazioni contenute nell'articolo sul sito di Cellebrite, che è stato successivamente rimosso (l'"attacco" richiedeva l'accesso fisico al telefono e la possibilità di rimuovere il blocco dello schermo, vale a dire riguardava la visualizzazione dei messaggi nell'app di messaggistica, ma non manualmente, bensì utilizzando un'app speciale che simula le azioni dell'utente).
Moksi ha analizzato le applicazioni Cellebrite e ha trovato vulnerabilità critiche che consentivano l'esecuzione di codice arbitrario durante il tentativo di scansione di dati appositamente formattati. Nell'applicazione Cellebrite è stato inoltre riscontrato l'uso di una libreria obsoleta ffmpeg, non aggiornata da 9 anni e contenente un gran numero di vulnerabilità non risolte. Invece di riconoscere i problemi e affrontarli, l'azienda Cellebrite ha pubblicato una dichiarazione in cui afferma di preoccuparsi dell'integrità dei dati degli utenti, di mantenere la sicurezza dei propri prodotti a un livello adeguato, di rilasciare regolarmente aggiornamenti e di fornire le migliori applicazioni della sua categoria.
- Il più grande risultato. Il premio è stato assegnato a Ilfak Guilfanov, autore del disassemblatore IDA e del decompilatore Hex-Rays, per il suo contributo allo sviluppo di strumenti per i ricercatori sulla sicurezza e per la capacità di mantenere un prodotto aggiornato per 30 anni.
Fonte: opennet.ru
