De winnaars van de jaarlijkse Pwnie Awards 2021 zijn bekendgemaakt. Deze prijzen erkennen de meest significante kwetsbaarheden en absurditeiten in de wereld van cybersecurity. De Pwnie Awards worden beschouwd als de Oscar en de Gouden Framboos van de cybersecurity.
Belangrijkste winnaars (lijst van kandidaten):
- Beste kwetsbaarheid voor privilege-escalatie. De prijs wordt uitgereikt aan Qualys voor het ontdekken van de kwetsbaarheid CVE-2021-3156 in de sudo-tool, die rootprivileges verleent. De kwetsbaarheid was ongeveer 10 jaar aanwezig in de code en is opmerkelijk omdat een grondige analyse van de logica van de tool nodig was om deze te identificeren.
- Beste serverfout. Dit wordt toegekend voor het ontdekken en exploiteren van de meest technisch complexe en interessante fout in een netwerkdienst. De prijs wordt uitgereikt voor het identificeren van een nieuwe aanvalsvector op Microsoft Exchange. Informatie over alle kwetsbaarheden van deze klasse is nog niet gepubliceerd, maar details zijn al onthuld over de kwetsbaarheid CVE-2021-26855 (ProxyLogon), die het mogelijk maakte om de gegevens van willekeurige gebruikers zonder authenticatie te extraheren, en CVE-2021-27065, die het mogelijk maakte om eigen code uit te voeren met de server beheerdersrechten.
- Beste cryptografische aanval. Dit wordt toegekend voor het ontdekken van de meest significante hiaten in echte systemen, protocollen en encryptie-algoritmen. De prijs werd uitgereikt aan Microsoft voor de kwetsbaarheid (CVE-2020-0601) in de implementatie van digitale handtekeningen op basis van elliptische krommen, die het mogelijk maakte om privƩsleutels op basis van openbare sleutels te genereren. Het probleem maakte het mogelijk om vervalste TLS-certificaten voor HTTPS en valse digitale handtekeningen te creƫren die in Windows als betrouwbaar werden geverifieerd.
- Het meest innovatieve onderzoek. De prijs werd toegekend aan onderzoekers die de BlindSide-methode hebben voorgesteld om het beleid voor adresrandomisatie (ASLR) te omzeilen via lekkages via zijkanalen, die ontstaan als gevolg van speculatieve uitvoering van instructies door de processor.
- De grootste mislukking (Most Epic FAIL). De prijs werd toegekend aan Microsoft voor de herhaaldelijke uitgifte van een niet-werkende patch voor de PrintNightmare-kwetsbaarheid (CVE-2021-34527) in het Windows-afdruksysteem, die de uitvoering van eigen code mogelijk maakt. Ondertussen had Microsoft het probleem aanvankelijk als lokaal gemarkeerd, maar later bleek dat de aanval ook op afstand kon worden uitgevoerd. Microsoft publiceerde vier keer updates, maar elke keer loste de patch slechts een specifiek geval op en vonden onderzoekers een nieuwe manier om de aanval uit te voeren.
- De beste fout in clientsoftware. Gewonnen door de onderzoeker die de kwetsbaarheid CVE-2020-28341 ontdekte in de veilige cryptoprocessoren van Samsung, die het CC EAL 5+-certificaat hebben ontvangen. De kwetsbaarheid stelde aanvallers in staat om de beveiliging volledig te omzeilen, toegang te krijgen tot de uitvoerbare code op de chip en de in de enclave opgeslagen gegevens, en om de schermvergrendeling te omzeilen, evenals wijzigingen aan te brengen in de firmware om een verborgen backdoor te creƫren.
- De meest ondergewaardeerde kwetsbaarheid. De prijs werd toegekend aan Qualys voor het ontdekken van een reeks kwetsbaarheden genaamd 21Nails in de e-mail. de server Exim, waarvan er 10 op afstand konden worden geƫxploiteerd. De ontwikkelaars van Exim waren sceptisch over de mogelijkheid om de problemen te exploiteren en hebben meer dan 6 maanden besteed aan het ontwikkelen van patches.
- De lamest reactie van een leverancier (Lamest Vendor Response). Nominatie voor de meest ongepaste reactie op een meldingsbericht over een kwetsbaarheid in het eigen product. De winnaar werd Cellebrite, dat zich bezighoudt met het creĆ«ren van applicaties voor forensische analyse en gegevensherstel door wetshandhavingsinstanties. Cellebrite reageerde ongepast op een melding van kwetsbaarheden, verzonden door Moxie Marlinspike, de auteur van het Signal-protocol. Moxie raakte geĆÆnteresseerd in Cellebrite na het publiceren van een artikel in de media over de ontwikkeling van technologie die het mogelijk maakte om versleutelde Signal-berichten te hacken, die later vals bleek te zijn door een verkeerde interpretatie van de informatie in een artikel op de website van Cellebrite, dat vervolgens werd verwijderd (de 'aanval' vereiste fysieke toegang tot de telefoon en de mogelijkheid om de schermvergrendeling op te heffen, dat wil zeggen dat het neerkwam op het bekijken van berichten in de messenger, maar niet handmatig, maar met behulp van een speciale applicatie die de acties van de gebruiker simuleert).
Moxie heeft de Cellebrite-applicaties onderzocht en kritieke kwetsbaarheden ontdekt die het mogelijk maakten om willekeurige code uit te voeren bij het proberen te scannen van speciaal opgemaakte gegevens. In de Cellebrite-applicatie was ook vastgesteld dat een verouderde bibliotheek ffmpeg werd gebruikt, die al 9 jaar niet was bijgewerkt en een groot aantal onbeheerde kwetsbaarheden bevatte. In plaats van de problemen te erkennen en deze op te lossen, publiceerde het bedrijf Cellebrite een verklaring dat het zich inzet voor de integriteit van gebruikersgegevens, de veiligheid van zijn producten op peil houdt, regelmatig updates uitbrengt en de beste applicaties in zijn soort levert.
- De grootste prestatie. De prijs is toegekend aan Ilfak Guilfanov, de maker van de IDA-disassembler en de Hex-Rays-decompiler, voor zijn bijdrage aan de ontwikkeling van tools voor beveiligingsonderzoekers en zijn vermogen om 30 jaar lang een actueel product te ondersteunen.
Bron: opennet.ru
