Boli vyhlásení víťazi každoročnej ceny Pwnie Awards 2021, ktorá vyzdvihuje najvýznamnejšie zraniteľnosti a absurdné previnenia v oblasti počítačovej bezpečnosti. Pwnie Awards je považovaná za ekvivalent Oscara a Zlatého glóbusu v oblasti počítačovej bezpečnosti.
Hlavní víťazi (zoznam nominácií):
- Najlepšia zraniteľnosť na zvýšenie oprávnení. Víťazom sa stala spoločnosť Qualys za odhalenie zraniteľnosti CVE-2021-3156 v nastroji sudo, ktorá umožňuje získať oprávnenia root. Zraniteľnosť bola prítomná v kóde približne 10 rokov a je zaujímavá tým, že na jej odhalenie bolo potrebné dôkladné preskúmanie logiky fungovania nástroja.
- Najlepšia serverová chyba. Udeľuje sa za odhalenie a využitie najtechnicky zložitej a najzaujímavejšej chyby v sieťovom službe. Víťazom sa stal nový vektor útokov na Microsoft Exchange. Nie všetky zraniteľnosti tejto kategórie boli zverejnené, ale už boli zverejnené informácie o zraniteľnosti CVE-2021-26855 (ProxyLogon), ktorá umožňuje získať údaje ľubovoľného používateľa bez autentifikácie, a CVE-2021-27065, ktorá poskytuje možnosť spustiť vlastný kód s serveri administrátorskými právami.
- Najlepšia kryptografická chyba. Udeľuje sa za odhalenie najvýznamnejších závažných nedostatkov v reálnych systémoch, protokoloch a šifrovacích algoritmoch. Cena bola udelená spoločnosti Microsoft za zraniteľnosť (CVE-2020-0601) v implementácii digitálnych podpisov založených na eliptických krivkách, ktorá umožňuje generovať súkromné kľúče na základe verejných kľúčov. Problém umožnil vytvoriť falošné TLS certifikáty pre HTTPS a falošné digitálne podpisy, ktoré boli overené v systéme Windows ako dôveryhodné.
- Najinovatívnejší výskum. Cena bola udelená výskumníkom, ktorí navrhli metódu BlindSide na obídenie ochrany založenej na náhodnom adresovaní (ASLR) pomocou únikov cez vedľajšie kanály, ktoré vznikli v dôsledku spekulačného vykonávania inštrukcií procesorom.
- Najväčší prepadák. Cena bola udelená spoločnosti Microsoft za opakovane vydané nefunkčné opravy zraniteľnosti PrintNightmare (CVE-2021-34527) v tlačovom systéme Windows, ktorá umožňovala vykonanie vlastného kódu. Najprv spoločnosť Microsoft označila problém ako lokálny, ale neskôr sa ukázalo, že útok môže byť vykonaný na diaľku. Následne Microsoft štyrikrát publikoval aktualizácie, ale zakaždým oprava pokrývala iba špecifický prípad a výskumníci nachádzali nový spôsob útoku.
- Najlepšia chyba v klientskom softvéri. Zvíťazil výskumník, ktorý odhalil zraniteľnosť CVE-2020-28341 v bezpečných kryptoprocesoroch Samsung, ktoré získali certifikát bezpečnosti CC EAL 5+. Zraniteľnosť umožnila úplne obísť ochranu a získať prístup k vykonávanému na čipe kódu a údajom uloženým v enclavoch, obísť zámok obrazovky a na dokonca meniť firmvér na vytvorenie skrytého bčko.
- Najviac podceňovaná zraniteľnosť. Cena bola udelená spoločnosti Qualys za odhalenie série zraniteľností 21Nails v poštovom serveri Exim, z ktorých 10 môže byť zneužitých na diaľku. Vývojári Exim skepticky prijali možnosť zneužitia problémov a strávili viac ako 6 mesiacov vývojom opráv.
- Najneobvyklejšia reakcia výrobcu. Nominácia za najneadekvátnejšiu reakciu na hlásenie o zraniteľnosti vo vlastnom produkte. Víťazom sa stala spoločnosť Cellebrite, ktorá sa zaoberá vytváraním aplikácií na kriminologickú analýzu a získavanie údajov pre orgány činné v trestnom konaní. Cellebrite neadekvátne zareagovala na hlásenie o zraniteľnostiach zaslané Moxiem Marlinspikom, autorom protokolu Signal. Moxie sa o Cellebrite zaujímal po zverejnení správy v médiách, ktorá hovorila o vytvorení technológie na prienik do zašifrovaných správ Signal, ktorá sa nakoniec ukázala ako podvod kvôli nesprávnej interpretácii informácií v článku na stránke Cellebrite, ktorý bol neskôr odstránený ("útok" si vyžadoval fyzický prístup k telefónu a možnosť deaktivovania zámku obrazovky, t.j. spočíval v prezeraní správ v messengeri, ale nie ručne, ale pomocou špeciálneho programu, ktorý simuluje akcie používateľa).
Moxy preskúmal aplikácie Cellebrite a našiel v nich kritické zraniteľnosti, ktoré umožňovali vykonanie ľubovoľného kódu pri pokuse o skenovanie špeciálne formátovaných údajov. V aplikácii Cellebrite bol tiež zistený fakt používania zastaranej knižnice ffmpeg, ktorá nebola aktualizovaná 9 rokov a obsahuje množstvo neopravených zraniteľností. Namiesto toho, aby spoločnosť Cellebrite uznala problémy a zaoberala sa ich opravou, zverejnila vyhlásenie, že sa stará o integritu údajov používateľov, udržiava bezpečnosť svojich produktov na požadovanej úrovni, pravidelne vydáva aktualizácie a ponúka najlepšie aplikácie vo svojej triede.
- Najväčšie ocenenie. Cenu získal Ilfat Gilfanov, autor disassemblera IDA a dekompilátora Hex-Rays, za jeho prínos k vývoju nástrojov pre bezpečnostných výskumníkov a schopnosť udržiavať produkt aktuálny po dobu 30 rokov.
Zdroj: opennet.ru
