Foram anunciados os vencedores do Prêmio Pwnie Awards 2021, que destaca as vulnerabilidades mais significativas e as falhas absurdas na área da segurança cibernética. O Pwnie Awards é considerado o equivalente ao Oscar e ao Framboesa de Ouro na segurança da informação.
Principais vencedores (lista dos indicados):
- Melhor vulnerabilidade de elevação de privilégios. O prêmio foi concedido à empresa Qualys pela identificação da vulnerabilidade CVE-2021-3156 no utilitário sudo, que permite obter privilégios de root. A vulnerabilidade estava presente no código por cerca de 10 anos e é notável pelo fato de que sua descoberta exigiu uma análise cuidadosa da lógica de funcionamento do utilitário.
- Melhor erro de servidor. A premiação é concedida pela identificação e exploração do erro técnico mais desafiador e interessante em um serviço de rede. O prêmio foi concedido pela descoberta de um novo vetor de ataque no Microsoft Exchange. Informações sobre todas as vulnerabilidades dessa classe não foram publicadas, mas os detalhes sobre a vulnerabilidade CVE-2021-26855 (ProxyLogon), que permite extrair dados de qualquer usuário sem autenticação, e CVE-2021-27065, que possibilita executar código com servidor privilégios de administrador.
- Melhor ataque criptográfico. A premiação é concedida pela identificação das vulnerabilidades mais significativas em sistemas reais, protocolos e algoritmos de criptografia. O prêmio foi concedido à Microsoft pela vulnerabilidade (CVE-2020-0601) na implementação de assinaturas digitais baseadas em curvas elípticas, que permite gerar chaves privadas a partir de chaves públicas. O problema possibilitava a criação de certificados TLS falsificados para HTTPS e assinaturas digitais fraudulentas que eram validadas no Windows como confiáveis.
- Pesquisa mais inovadora. O prêmio foi concedido a pesquisadores que propuseram o método BlindSide para contornar a proteção baseada em aleatorização de endereços (ASLR) usando vazamentos por canais laterais, resultantes da execução especulativa de instruções pelo processador.
- A maior falha (Most Epic FAIL). O prêmio foi concedido à Microsoft por ter lançado várias vezes uma correção com falhas para a vulnerabilidade PrintNightmare (CVE-2021-34527) no sistema de impressão do Windows, que permitia a execução de código malicioso. Inicialmente, a Microsoft classificou o problema como local, mas depois descobriu-se que o ataque poderia ser realizado remotamente. Em seguida, a Microsoft publicou quatro atualizações, mas a cada vez a correção apenas abordava um caso específico, enquanto os pesquisadores encontravam novas maneiras de executar o ataque.
- O melhor erro em software do cliente. O prêmio foi para o pesquisador que identificou a vulnerabilidade CVE-2020-28341 em criptoprocessadores seguros da Samsung, que receberam a certificação de segurança CC EAL 5+. A vulnerabilidade permitia contornar totalmente a proteção, acessar o código executado no chip e os dados armazenados no enclave, desativar o bloqueio de tela e até modificar o firmware para criar um backdoor oculto.
- A vulnerabilidade mais subestimada. O prêmio foi concedido à Qualys por identificar uma série de vulnerabilidades 21Nails no mail servidor Exim, 10 das quais podem ser exploradas remotamente. Os desenvolvedores do Exim mostraram ceticismo quanto à possibilidade de exploração dos problemas e passaram mais de 6 meses desenvolvendo correções.
- A resposta mais irresponsável do fornecedor (Lamest Vendor Response). Nomeação por ter a reação mais inadequada à notificação de uma vulnerabilidade em seu próprio produto. O vencedor foi a Cellebrite, que cria aplicações para análise forense e extração de dados para as autoridades. A Cellebrite reagiu de maneira inapropriada a uma notificação sobre vulnerabilidades enviada por Moxie Marlinspike, autor do protocolo Signal. Moxie ficou interessado na Cellebrite após a publicação de um artigo na mídia sobre o desenvolvimento de uma tecnologia que supostamente permitia hackear mensagens encriptadas do Signal, que depois foi desmentida por conta de uma má interpretação das informações no site da Cellebrite, que foram posteriormente removidas (o “ataque” exigia acesso físico ao telefone e a capacidade de desbloquear a tela, ou seja, se resumia a visualização de mensagens no aplicativo de mensagens, mas não manualmente, e sim usando um aplicativo especial que simula as ações do usuário).
Moxi analisou os aplicativos Cellebrite e encontrou vulnerabilidades críticas que permitiam a execução de código arbitrário ao tentar escanear dados especialmente formatados. No aplicativo Cellebrite, também foi identificado o uso de uma biblioteca desatualizada do ffmpeg, que não recebia atualizações há 9 anos e continha um grande número de vulnerabilidades não corrigidas. Em vez de reconhecer os problemas e se ocupar com as correções, a empresa Cellebrite publicou um comunicado afirmando que se preocupa com a integridade dos dados dos usuários, mantém a segurança de seus produtos em níveis adequados, lança atualizações regularmente e fornece os melhores aplicativos de sua categoria.
- A maior conquista. O prêmio foi concedido a Ilfak Guilfanov, autor do disassemblador IDA e do decompilador Hex-Rays, por sua contribuição para o desenvolvimento de ferramentas para pesquisadores de segurança e pela capacidade de manter um produto relevante por 30 anos.
Fonte: opennet.ru
