פרסי Pwnie 2021: פרצות אבטחה וכשלים משמעותיים ביותר

הזוכים בטקס פרסי Pwnie השנתי 2021 הוכרזו, והדגישו את הפגיעויות המשמעותיות ביותר והכשלים האבסורדיים באבטחת מחשבים. פרסי Pwnie נחשבים למקבילה של פרסי האוסקר ופטל הזהב בתחום אבטחת המחשב.

הזוכים העיקריים (רשימת המתמודדים):

• הפגיעות הטובה ביותר המובילה להסלמה של הרשאות. הניצחון הוענק ל-Qualys על זיהוי הפגיעות CVE-2021-3156 בתוכנית השירות sudo, המאפשרת לך לקבל הרשאות שורש. הפגיעות הייתה קיימת בקוד כ-10 שנים והיא ראויה לציון בכך שזיהויו הצריך ניתוח יסודי של ההיגיון של כלי השירות.
• באג השרת הטוב ביותר. הוענק על זיהוי וניצול הבאג המורכב והמעניין ביותר מבחינה טכנית בשירות רשת. הניצחון הוענק על זיהוי וקטור חדש של התקפות על Microsoft Exchange. מידע על לא כל הפגיעויות של מחלקה זו פורסם, אך מידע כבר נחשף על הפגיעות CVE-2021-26855 (ProxyLogon), המאפשרת לחלץ את הנתונים של משתמש שרירותי ללא אימות, ו-CVE-2021-27065 , המאפשר להפעיל את הקוד שלך בשרת עם זכויות מנהל.
• המתקפה ההצפנה הטובה ביותר. הוענק על זיהוי הפערים המשמעותיים ביותר במערכות אמיתיות, פרוטוקולים ואלגוריתמי הצפנה. הפרס הוענק למיקרוסופט על פגיעות (CVE-2020-0601) ביישום חתימות דיגיטליות המבוססות על עקומות אליפטיות, המאפשרות הפקת מפתחות פרטיים על בסיס מפתחות ציבוריים. הבעיה אפשרה יצירת תעודות TLS מזויפות עבור HTTPS וחתימות דיגיטליות פיקטיביות שאומתו כאמינות על ידי Windows.
• המחקר החדשני ביותר אי פעם. הפרס הוענק לחוקרים שהציעו את שיטת BlindSide לעקוף הגנת רנדומיזציה מבוססת כתובת (ASLR) באמצעות דליפות ערוץ צדדי הנובע מביצוע ספקולטיבי של הוראות מעבד.
• הכישלון הגדול ביותר (Most Epic FAIL). הפרס הוענק למיקרוסופט על שפרסמה שוב ושוב תיקון שבור לפגיעות PrintNightmare (CVE-2021-34527) במערכת ההדפסה של Windows שאפשרה ביצוע קוד. מיקרוסופט סימנה בתחילה את הבעיה כמקומית, אך אז התברר שניתן לבצע את המתקפה מרחוק. אחר כך פרסמה מיקרוסופט עדכונים ארבע פעמים, אבל בכל פעם התיקון סגר רק מקרה מיוחד והחוקרים מצאו דרך חדשה לבצע את המתקפה.
• הבאג הטוב ביותר בתוכנת לקוח. הזוכה היה החוקר שזיהה את הפגיעות CVE-2020-28341 במעבדי קריפטו מאובטחים של סמסונג, שקיבלו תעודת אבטחה CC EAL 5+. הפגיעות אפשרה לעקוף לחלוטין את האבטחה ולקבל גישה לקוד הפועל על השבב ולנתונים המאוחסנים במובלעת, לעקוף את נעילת שומר המסך, וגם לבצע שינויים בקושחה כדי ליצור דלת אחורית נסתרת.
• הפגיעות הכי לא מוערכת. הפרס הוענק ל-Qualys על זיהוי סדרה של פרצות 21Nails בשרת הדואר של Exim, 10 מהן ניתנות לניצול מרחוק. מפתחי Exim היו סקפטיים שניתן לנצל את הבעיות והקדישו למעלה מ-6 חודשים בפיתוח תיקונים.
• תגובת הספק הכי עלובה. מועמדות לתגובה הכי לא מספקת להודעה על פגיעות במוצר שלך. הזוכה הייתה Cellebrite, חברה שיוצרת יישומים לניתוח פורנזי והפקת נתונים על ידי רשויות אכיפת החוק. Cellebrite לא הגיבה כראוי לדוח פגיעות שנשלח על ידי Moxie Marlinspike, מחבר פרוטוקול Signal. מוקסי החל להתעניין בסלברייט לאחר פרסום בתקשורת הערה על יצירת טכנולוגיה המאפשרת פריצה להודעות סיגנל מוצפנות, אשר מאוחר יותר התבררו כזיוף עקב פרשנות שגויה של מידע בכתבה באתר סלבריט, אשר הייתה לאחר מכן הוסר ("המתקפה" דרשה גישה פיזית לטלפון ויכולת להסיר את מסך הנעילה, כלומר הצטמצמה לצפייה בהודעות במסנג'ר, אך לא באופן ידני, אלא באמצעות אפליקציה מיוחדת המדמה פעולות משתמש).

  Moxey חקר יישומי Cellebrite ומצא שם פגיעויות קריטיות שאפשרו ביצוע קוד שרירותי בעת ניסיון לסרוק נתונים שתוכננו במיוחד. נמצא כי האפליקציה Cellebrite משתמשת גם בספריית ffmpeg מיושנת שלא עודכנה במשך 9 שנים והכילה מספר רב של נקודות תורפה שטרם תוקנו. במקום להודות בבעיות ולתקן את הבעיות, Cellebrite פרסמה הצהרה כי היא דואגת לשלמות נתוני המשתמש, שומרת על אבטחת מוצריה ברמה הראויה, משחררת באופן שוטף עדכונים ומספקת את האפליקציות הטובות ביותר מסוגן.

• ההישג הכי גדול. הפרס הוענק לאילפק גילפנוב, מחבר המפרק של IDA ו-Hex-Rys decompiler, על תרומתו לפיתוח כלים לחוקרי אבטחה ועל יכולתו לתחזק מוצר עדכני במשך 30 שנה.

מקור: OpenNet.ru