Жыл сайынғы Pwnie Awards 2021 жүлдесінің жеңімпаздары анықталды, олар компьютерлік қауіпсіздік саласындағы ең маңызды осалдықтар мен абсурдтық сәтсіздіктерді атап өтті. Pwnie марапаттары компьютерлік қауіпсіздік саласындағы «Оскар» және «Алтын таңқурай» сыйлығының баламасы болып саналады.
Негізгі жеңімпаздар (үміткерлер тізімі):
- Артықшылықты арттыру осалдығы жақсырақ. Жеңіс Qualys компаниясына sudo утилитасындағы CVE-2021-3156 осалдығын анықтағаны үшін берілді, ол түбірлік артықшылықтарды алуға мүмкіндік береді. Бұл осалдық кодта шамамен 10 жыл бойы бар және оны анықтау үшін қызметтік бағдарламаның логикасын мұқият талдау қажет екендігімен ерекшеленеді.
- Ең жақсы сервер қатесі. Желілік қызметтегі ең техникалық күрделі және қызықты қатені анықтау және пайдалану үшін марапатталады. Жеңіс Microsoft Exchange жүйесіндегі шабуылдардың жаңа векторын анықтағаны үшін берілді. Бұл сыныптың барлық осалдықтары туралы ақпарат жарияланған жоқ, бірақ аутентификациясыз ерікті пайдаланушыдан деректерді шығаруға мүмкіндік беретін CVE-2021-26855 (ProxyLogon) және CVE-2021-27065 осалдығы туралы ақпарат әлдеқашан ашылған. кодты әкімші құқығы бар серверде орындауға болады.
- Ең жақсы криптографиялық шабуыл. Нақты жүйелердегі, хаттамалардағы және шифрлау алгоритмдеріндегі ең маңызды кемшіліктерді анықтағаны үшін марапатталады. Сыйлық Microsoft корпорациясына ашық кілттерден жеке кілттерді жасай алатын эллиптикалық қисық цифрлық қолтаңбаларды енгізудегі осалдық үшін (CVE-2020-0601) берілді. Мәселе HTTPS және жалған цифрлық қолтаңбалар үшін жалған TLS сертификаттарын жасауға мүмкіндік берді, олар Windows жүйесінде сенімді деп тексерілді.
- Ең инновациялық зерттеулер. Сыйлық процессордың нұсқауларды алыпсатарлық орындауы нәтижесінде бүйірлік арнаның ағып кетуін пайдалану арқылы мекенжай рандомизациясына негізделген (ASLR) қорғауды айналып өту үшін BlindSide әдісін ұсынған зерттеушілерге берілді.
- Ең үлкен сәтсіздік (Most Epic FAIL). Сыйлық Microsoft корпорациясына кодты орындауға мүмкіндік беретін Windows басып шығару жүйесіндегі PrintNightmare (CVE-2021-34527) осалдығын бірнеше рет шығарылымы бұзылған түзету үшін берілді. Алдымен Microsoft бұл мәселені жергілікті деп белгіледі, бірақ кейін шабуылды қашықтан жүзеге асыруға болатыны белгілі болды. Содан кейін Microsoft төрт рет жаңартуларды жариялады, бірақ әр жолы түзету тек ерекше жағдайды жауып тастады және зерттеушілер шабуылды жүзеге асырудың жаңа әдісін тапты.
- Клиенттік бағдарламалық құралдағы ең жақсы қате. CC EAL 2020+ қауіпсіздік сертификатын алған қауіпсіз Samsung криптографиялық процессорларындағы CVE-28341-5 осалдығын анықтаған зерттеуші жеңімпаз болды. Осалдық қорғауды толығымен айналып өтуге және чипте орындалатын кодқа және анклавта сақталған деректерге қол жеткізуге, экран сақтағышының құлпын айналып өтуге, сондай-ақ жасырын бэкдорды жасау үшін микробағдарламаға өзгерістер енгізуге мүмкіндік берді.
- Ең бағаланбаған осалдық. Сыйлық Qualys компаниясына Exim пошта серверіндегі 21Nails осалдықтарының сериясын анықтағаны үшін берілді, олардың 10-ын қашықтан пайдалануға болады. Exim әзірлеушілері ақауларды пайдалану мүмкіндігіне күмәнмен қарады және түзетулерді әзірлеуге 6 айдан астам уақыт жұмсады.
- Өндірушінің ең жалқау реакциясы (Lamest Vendor Response). Өз өніміндегі осалдық туралы есепке ең орынсыз жауап үшін номинация. Жеңімпаз Cellebrite болды, құқық қорғау органдарына арналған сот сараптамасы мен деректерді іздеу қосымшаларын құрастыратын компания. Cellebrite Сигнал хаттамасының авторы Мокси Марлинспик жариялаған осалдық туралы есепке орынсыз жауап берді. Моксси Cellebrite-ге шифрланған Signal хабарламаларын бұзуға мүмкіндік беретін технологияны құру туралы БАҚ мақаласынан кейін қызығушылық танытты, кейінірек ол Cellebrite веб-сайтындағы мақаладағы ақпаратты дұрыс түсіндірмеу салдарынан жалған болып шықты, содан кейін ол жойылды (« «шабуыл» телефонға физикалық қол жеткізуді және экран құлпын ашу мүмкіндігін талап етті, яғни хабарларды мессенджерде қарауға дейін қысқарды, бірақ қолмен емес, пайдаланушы әрекеттерін имитациялайтын арнайы қолданбаны пайдалану).
Moxxi Cellebrite қолданбаларын зерттеді және олардан арнайы әзірленген деректерді сканерлеу кезінде еркін кодты орындауға мүмкіндік беретін маңызды осалдықтарды тапты. Cellebrite қолданбасы сонымен қатар 9 жыл бойы жаңартылмаған және түзетілмеген осалдықтардың үлкен санын қамтитын ескірген ffmpeg кітапханасын пайдаланатыны анықталды. Мәселелерді мойындап, ақауларды жоюдың орнына, Cellebrite пайдаланушы деректерінің тұтастығына қамқорлық жасайтыны, өз өнімдерінің қауіпсіздігін тиісті деңгейде қолдайтыны, тұрақты жаңартуларды шығаратыны және осы түрдегі ең жақсы қолданбаларды жеткізетіндігі туралы мәлімдеме жасады.
- Ең үлкен жетістік. Сыйлық қауіпсіздік зерттеушілеріне арналған құралдарды әзірлеуге қосқан үлесі және өнімді 30 жыл бойы жаңартып отыру қабілеті үшін IDA бөлшектеуші және Hex-Rays декомпиляторының авторы Ильфак Гилфановқа берілді.
Ақпарат көзі: opennet.ru