تم الإعلان عن الفائزين بجوائز Pwnie السنوية لعام 2021. يُعد هذا حدثًا بارزًا يكشف فيه المشاركون عن أبرز الثغرات الأمنية والعيوب الخطيرة في مجال أمن الحاسوب.
تُكرّم جوائز بوني كلاً من التميز وعدم الكفاءة في مجال أمن المعلومات. ويتم اختيار الفائزين من قبل لجنة من خبراء صناعة الأمن من بين الترشيحات التي يتم جمعها من مجتمع أمن المعلومات.
قائمة الفائزين
أفضل ثغرة أمنية لرفع الامتيازات : مُنحت هذه الجائزة لشركة Qualys لاكتشافها الثغرة الأمنية CVE-2021-3156 في أداة `sudo` ، والتي تسمح للمستخدمين بالحصول على امتيازات الجذر. كانت هذه الثغرة موجودة في الكود البرمجي لحوالي عشر سنوات، وتكمن أهميتها في أن اكتشافها تطلب تحليلًا دقيقًا لمنطق الأداة.
أفضل ثغرة أمنية في الخادم: مُنحت هذه الجائزة لاكتشاف واستغلال الثغرة الأمنية الأكثر تعقيدًا وإثارة للاهتمام من الناحية التقنية في خدمة شبكية. وقد فاز بها الاكتشاف الذي كشف عن ثغرة جديدة تستهدف Microsoft Exchange . لم تُنشر معلومات عن جميع الثغرات من هذا النوع، ولكن تم الكشف بالفعل عن معلومات حول CVE-2021-26855 (ProxyLogon)، التي تسمح باسترجاع البيانات من أي مستخدم دون مصادقة، وCVE-2021-27065، التي تسمح بتنفيذ التعليمات البرمجية على خادم بصلاحيات المسؤول.
جائزة أفضل هجوم تشفيري: مُنحت هذه الجائزة لاكتشافها أخطر الثغرات في أنظمة التشفير والبروتوكولات والخوارزميات المستخدمة في العالم الحقيقي. وقد مُنحت لشركة مايكروسوفت لاكتشافها ثغرة أمنية (CVE-2020-0601) في تطبيق التوقيعات الرقمية باستخدام المنحنيات الإهليلجية، والتي تسمح بإنشاء مفاتيح خاصة بناءً على مفاتيح عامة. وقد مكّنت هذه الثغرة من إنشاء شهادات TLS مزورة لبروتوكول HTTPS وتوقيعات رقمية وهمية، والتي تحققت منها ويندوز على أنها موثوقة.
أكثر الأبحاث ابتكارًا: مُنحت الجائزة للباحثين الذين اقترحوا طريقة BlindSide للتحايل على أمان التوزيع العشوائي للعناوين (ASLR) باستخدام تسريبات القناة الجانبية الناتجة عن تنفيذ التعليمات التخميني للمعالج.
مُنحت جائزة "الفشل الذريع" لشركة مايكروسوفت بسبب إصدارها عدة تحديثات برمجية لم تُعالج ثغرة PrintNightmare (CVE-2021-34527) في نظام إخراج الطباعة في ويندوز، والتي سمحت بتنفيذ تعليمات برمجية. في البداية، صنّفت مايكروسوفت المشكلة على أنها محلية، ولكن تبيّن لاحقًا أن الهجوم يُمكن تنفيذه عن بُعد. أصدرت مايكروسوفت بعد ذلك أربعة تحديثات، ولكن في كل مرة كان الإصلاح يُعالج حالة مُحددة فقط، واكتشف الباحثون طريقة جديدة لتنفيذ الهجوم.
أفضل ثغرة في برمجيات العميل : مُنحت هذه الجائزة لباحث اكتشف ثغرة CVE-2020-28341 في نظام التشفير الآمن من سامسونج، وحصل على شهادة CC EAL 5+ الأمنية. سمحت هذه الثغرة بتجاوز الحماية بالكامل والوصول إلى الشفرة البرمجية المُشغّلة على الشريحة والبيانات المخزنة في وحدة الحماية، بالإضافة إلى تجاوز قفل شاشة التوقف، وإجراء تعديلات على البرامج الثابتة لإنشاء باب خلفي خفي.
الثغرة الأمنية الأكثر استهانةً : مُنحت الجائزة لشركة Qualys لاكتشافها عددًا من الثغرات الأمنية في برنامج 21Nails الموجود في خادم البريد Exim، والتي يمكن استغلال 10 منها عن بُعد. كان مطورو Exim متشككين بشأن إمكانية استغلال هذه الثغرات، وقضوا أكثر من ستة أشهر في تطوير حلول لها.
أضعف استجابة من شركة مصنعة: هذا ترشيح لأكثر استجابة غير كافية لتقرير ثغرة أمنية في منتجها . الفائز هو Cellebrite، وهو تطبيق للتحليل الجنائي واستخراج البيانات مخصص لإنفاذ القانون. فشلت Cellebrite في الاستجابة بشكل كافٍ لتقرير الثغرة الأمنية الذي نشره موكسي مارلينسبايك، مطور بروتوكول Signal. أبدى موكسي اهتمامًا بـ Cellebrite بعد نشر تقرير إعلامي حول ابتكار تقنية لفك تشفير رسائل Signal، وهو ما تبين لاحقًا أنه غير صحيح، بسبب سوء فهم للمعلومات الواردة في المقال المنشور على موقع Cellebrite الإلكتروني، والذي تم حذفه لاحقًا (تطلب "الهجوم" الوصول المادي إلى الهاتف والقدرة على فتح الشاشة؛ أي أنه كان يقتصر على عرض الرسائل في تطبيق المراسلة، ولكن ليس يدويًا، بل باستخدام تطبيق خاص يحاكي إجراءات المستخدم).
قام Moxie بفحص تطبيقات Cellebrite ووجد ثغرات أمنية حرجة سمحت بتنفيذ تعليمات برمجية عشوائية عند محاولة مسح البيانات المصممة خصيصًا. كشف تطبيق Cellebrite أيضًا عن حقيقة أنه يستخدم مكتبة ffmpeg قديمة لم يتم تحديثها منذ 9 سنوات وتحتوي على عدد كبير من نقاط الضعف غير المصححة. بدلاً من الاعتراف بالمشكلات وحلها ، أصدرت Cellebrite بيانًا بأنها تهتم بسلامة بيانات المستخدم ، وتحافظ على أمان منتجاتها عند المستوى المناسب.
وأخيراً، الإنجاز الأعظم: تم منحه إلى إلفاك جيلفانوف، مؤلف برنامج IDA لتفكيك البرامج وبرنامج Hex-Rays لفك التشفير ، لمساهمته في تطوير أدوات لباحثي الأمن وقدرته على الحفاظ على تحديث المنتج لمدة 30 عاماً.
المصدر: https://pwnies.com