ProHoster > Blogg > Internetnyheter > Pwnie Awards 2021: de mest betydande sÄrbarheterna och sÀkerhetsmissarna

Pwnie Awards 2021: de mest betydande sÄrbarheterna och sÀkerhetsmissarna

Vinnarna av det Ärliga Pwnie Awards 2021 har utsetts, vilket lyfter fram de mest betydelsefulla sÄrbarheterna och absurda misstagen inom cybersÀkerhet. Pwnie Awards anses vara motsvarigheten till Oscars och Razzie Awards inom cybersÀkerhet.

Huvudvinnare (lista över nominerade):

  • BĂ€sta sĂ„rbarhet för att höja privilegier. Priset tilldelas Qualys för upptĂ€ckten av sĂ„rbarheten CVE-2021-3156 i sudo-verktyget, vilket möjliggör erhĂ„llande av root-privilegier. SĂ„rbarheten fanns i koden i nĂ€stan 10 Ă„r och Ă€r sĂ€rskilt anmĂ€rkningsvĂ€rd eftersom det krĂ€vdes en noggrann genomgĂ„ng av verktygets logik för att upptĂ€cka den.
  • BĂ€sta serverfel. Tilldelas för upptĂ€ckten och utnyttjandet av den mest tekniskt komplexa och intressanta buggen i en nĂ€tverksservice. Priset tilldelas för upptĂ€ckten av en ny attackvektor pĂ„ Microsoft Exchange. Informationen om alla sĂ„rbarheter av denna typ har inte publicerats, men uppgifter om sĂ„rbarheten CVE-2021-26855 (ProxyLogon) har redan avslöjats, vilket gör det möjligt att hĂ€mta data frĂ„n vilken anvĂ€ndare som helst utan autentisering, samt CVE-2021-27065, som tillĂ„ter att köra egen kod med servern administratörsrĂ€ttigheter.
  • BĂ€sta kryptografiska attack. Priset tilldelas för upptĂ€ckten av de mest betydelsefulla bristerna i verkliga system, protokoll och krypteringsalgoritmer. Priset har tilldelats Microsoft för sĂ„rbarheten (CVE-2020-0601) i implementeringen av digitala signaturer baserade pĂ„ elliptiska kurvor, vilket möjliggör generering av privata nycklar baserat pĂ„ offentliga nycklar. Problemet gjorde det möjligt att skapa falska TLS-certifikat för HTTPS och falska digitala signaturer som verifierades i Windows som pĂ„litliga.
  • Det mest innovativa forskningsarbetet. Priset tilldelas forskare som föreslagit metoden BlindSide för att kringgĂ„ skydd baserat pĂ„ adresserandsome (ASLR) genom lĂ€ckor via sidokanaler som uppstĂ„r till följd av spekulativ exekvering av instruktioner i processorn.
  • Den största misslyckandet. Priset tilldelades Microsoft för upprepade publikationen av ett ineffektivt sĂ€kerhetsuppdatering för sĂ„rbarheten PrintNightmare (CVE-2021-34527) i Windows utskriftssystem, vilket möjliggör exekvering av egen kod. Till en början klassificerade Microsoft problemet som lokalt, men upptĂ€ckte sedan att attacken kunde genomföras pĂ„ distans. Microsoft publicerade dĂ€refter uppdateringar fyra gĂ„nger, men varje gĂ„ng Ă„tgĂ€rden tĂ€ckte endast ett specifikt fall och forskare hittade nya sĂ€tt att genomföra attacken.
  • BĂ€sta felet i klientprogramvara. Vinnaren var en forskare som identifierade sĂ„rbarheten CVE-2020-28341 i sĂ€kra kryptoprocessorer frĂ„n Samsung som fĂ„tt CC EAL 5+-certifiering. SĂ„rbarheten gjorde det möjligt att helt kringgĂ„ skyddet och fĂ„ tillgĂ„ng till kod som körs pĂ„ chipet och data som lagras i en enclave, kringgĂ„ skĂ€rmslĂ€ckarens lĂ„sning samt att göra Ă€ndringar i programvaran för att skapa en dold bakdörr.
  • Den mest underskattade sĂ„rbarheten. Priset tilldelades Qualys för upptĂ€ckten av en serie sĂ„rbarheter, 21Nails, i e-post. servern Exim, varav 10 kan utnyttjas pĂ„ distans. Utvecklarna av Exim var skeptiska till möjligheten att utnyttja problemen och spenderade mer Ă€n 6 mĂ„nader pĂ„ att utveckla rĂ€ttningar.
  • Den lamaste reaktionen frĂ„n tillverkaren. Nomineringen för den mest olĂ€mpliga reaktionen pĂ„ ett meddelande om en sĂ„rbarhet i sin egen produkt. Vinnaren Ă€r företaget Cellebrite, som utvecklar program för kriminalteknisk analys och datainsamling för rĂ€ttsvĂ„rdande myndigheter. Cellebrite reagerade olĂ€mpligt pĂ„ meddelandet om sĂ„rbarheterna som skickades av Moxie Marlinspike, skaparen av Signal-protokollet. Moxie blev intresserad av Cellebrite efter en nyhetsartikel som diskuterade teknologin som gjorde det möjligt att hacka krypterade Signal-meddelanden, vilket senare visade sig vara falskt pĂ„ grund av en felaktig tolkning av informationen i en artikel pĂ„ Cellebrites webbplats, som senare togs bort. ('Attacken' krĂ€vde fysisk Ă„tkomst till telefonen och att skĂ€rmlĂ„set avlĂ€gsnades, vilket innebar att man behövde se meddelanden i appen men inte manuellt, utan med en speciell applikation som simulerade anvĂ€ndarens Ă„tgĂ€rder.)

    Moxi har undersökt Cellebrite-apparna och funnit kritiska sÄrbarheter som möjliggjorde exekvering av godtycklig kod vid skanning av sÀrskilt utformad data. I Cellebrite-appen upptÀcktes ocksÄ anvÀndning av ett förÄldrat ffmpeg-bibliotek som inte hade uppdaterats pÄ 9 Är och innehöll ett stort antal outfixade sÄrbarheter. IstÀllet för att erkÀnna problemen och ÄtgÀrda dem publicerade Cellebrite ett uttalande om att de bryr sig om integriteten hos anvÀndardata, upprÀtthÄller sÀkerheten i sina produkter pÄ en tillrÀcklig nivÄ, slÀpper regelbundet uppdateringar och levererar de bÀsta apparna i sitt slag.

  • Det största achievementet. UtmĂ€rkelsen tilldelades Ilfak Guilfanov, skaparen av disassemblern IDA och dekompilatorn Hex-Rays, för hans bidrag till utvecklingen av verktyg för sĂ€kerhetsforskare och förmĂ„gan att underhĂ„lla en aktuell produkt under 30 Ă„r.

KĂ€lla: opennet.ru

Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar đŸ”„ Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar | ProHoster