Pwnie Awards 2021: 가장 중요한 보안 취약점 및 실패

연례 Pwnie Awards 2021의 수상자가 결정되어 컴퓨터 보안 분야에서 가장 심각한 취약점과 터무니없는 실패를 강조했습니다. Pwnie Awards는 컴퓨터 보안 분야의 Oscars 및 Golden Raspberry와 동등한 것으로 간주됩니다.

주요 수상자(경쟁자 목록):

• 더 나은 권한 에스컬레이션 취약성. Qualys는 루트 권한을 얻을 수 있는 sudo 유틸리티에서 취약점 CVE-2021-3156을 식별하여 승리했습니다. 이 취약점은 약 10년 동안 코드에 존재했으며 이를 식별하기 위해 유틸리티의 논리에 대한 철저한 분석이 필요했다는 점에서 주목할 만합니다.
• 최고의 서버 버그. 네트워크 서비스에서 기술적으로 가장 복잡하고 흥미로운 버그를 식별하고 악용한 공로로 수여됩니다. 승리는 Microsoft Exchange에 대한 새로운 공격 벡터를 식별하여 수여되었습니다. 이 클래스의 모든 취약점에 대한 정보가 공개된 것은 아니지만 인증 없이 임의의 사용자로부터 데이터를 추출할 수 있는 CVE-2021-26855(ProxyLogon) 취약점과 CVE-2021-27065에 대한 정보가 이미 공개되었습니다. 관리자 권한으로 서버에서 코드를 실행할 수 있습니다.
• 최고의 암호화 공격. 실제 시스템, 프로토콜 및 암호화 알고리즘에서 가장 중요한 결함을 식별하여 수여됩니다. Microsoft는 공개 키에서 개인 키를 생성할 수 있는 타원 곡선 디지털 서명 구현의 취약점(CVE-2020-0601)에 대해 Microsoft에 수여되었습니다. 이 문제로 인해 Windows에서 신뢰할 수 있는 것으로 확인된 가상 디지털 서명과 HTTPS에 대한 가짜 TLS 인증서 생성이 허용되었습니다.
• 가장 혁신적인 연구. 이 상은 프로세서에 의한 명령의 예측 실행으로 인한 사이드 채널 누출을 사용하여 주소 무작위화 기반(ASLR) 보호를 우회하는 BlindSide 방법을 제안한 연구원에게 수여되었습니다.
• 가장 큰 실패(Most Epic FAIL). 이 상은 코드 실행을 허용하는 Windows 인쇄 시스템의 PrintNightmare(CVE-2021-34527) 취약점에 대한 여러 릴리스의 깨진 수정으로 Microsoft에 수여되었습니다. 처음에 Microsoft는 문제를 로컬로 표시했지만 공격이 원격으로 수행될 수 있음이 밝혀졌습니다. 그런 다음 Microsoft는 업데이트를 XNUMX번 게시했지만 수정 사항이 특수한 경우에만 종료될 때마다 연구원은 공격을 수행할 새로운 방법을 찾았습니다.
• 클라이언트 소프트웨어 최고의 버그. 우승자는 CC EAL 2020+ 보안 인증서를 받은 보안 삼성 암호화 프로세서에서 CVE-28341-5 취약점을 식별한 연구원이었습니다. 이 취약점으로 인해 보호 기능을 완전히 우회하고 칩에서 실행되는 코드와 엔클레이브에 저장된 데이터에 액세스하고 화면 보호기 잠금을 우회하고 펌웨어를 변경하여 숨겨진 백도어를 만들 수 있습니다.
• 가장 과소평가된 취약점. 이 상은 Exim 메일 서버에서 원격으로 악용될 수 있는 21개의 10Nails 취약점을 식별한 Qualys에게 수여되었습니다. Exim 개발자는 문제를 악용할 가능성에 대해 회의적이었고 6개월 이상 수정 프로그램을 개발했습니다.
• 제조업체의 가장 시시한 반응(Lamest Vendor Response). 자신의 제품에 대한 취약점 보고에 대한 가장 부적절한 대응에 대한 지명. 승자는 법 집행을 위한 포렌식 분석 및 데이터 마이닝 애플리케이션을 구축하는 회사인 Cellebrite였습니다. Cellebrite는 Signal 프로토콜의 작성자인 Moxie Marlinspike가 게시한 취약성 보고서에 부적절하게 응답했습니다. Moxxi는 암호화된 Signal 메시지를 해킹할 수 있는 기술의 생성에 대한 미디어 기사 이후 Cellebrite에 관심을 갖게 되었으며, 나중에 Cellebrite 웹사이트의 기사에서 정보를 잘못 해석하여 가짜로 판명되어 제거되었습니다(“ 공격”에는 전화에 대한 물리적 액세스와 화면 잠금 해제 기능이 필요했습니다.

  Moxxi는 Cellebrite 애플리케이션을 연구하고 특별히 설계된 데이터를 스캔하려고 할 때 임의 코드가 실행될 수 있도록 허용하는 치명적인 취약점을 발견했습니다. Cellebrite 애플리케이션은 또한 9년 동안 업데이트되지 않았으며 패치되지 않은 다수의 취약점을 포함하고 있는 오래된 ffmpeg 라이브러리를 사용하고 있는 것으로 밝혀졌습니다. Cellebrite는 문제를 인정하고 문제를 해결하는 대신 사용자 데이터의 무결성에 관심을 갖고 제품의 보안을 적절한 수준으로 유지하며 정기적인 업데이트를 릴리스하고 동종 최고의 애플리케이션을 제공한다는 성명을 발표했습니다.

• 가장 큰 성과. 이 상은 IDA 디스어셈블러 및 Hex-Rays 디컴파일러의 저자인 Ilfak Gilfanov가 보안 연구원을 위한 도구 개발에 기여하고 30년 동안 제품을 최신 상태로 유지할 수 있는 능력을 인정받아 수여되었습니다.

출처 : opennet.ru