Objavljeni su pobjednici godišnjih nagrada Pwnie za 2021. godinu. Riječ je o istaknutom događaju na kojem učesnici otkrivaju najznačajnije ranjivosti i apsurdne nedostatke u oblasti računarske sigurnosti.
Pwnie nagrade priznaju i izvrsnost i nekompetentnost u oblasti informacione sigurnosti. Pobjednike bira odbor sastavljen od stručnjaka iz sigurnosne industrije na osnovu nominacija prikupljenih od zajednice za informacionu sigurnost.
Lista dobitnika
Najbolja ranjivost eskalacije privilegija : Ova nagrada dodijeljena je Qualysu za identifikaciju ranjivosti CVE-2021-3156 u uslužnom programu `sudo` , koji korisnicima omogućava dobijanje root privilegija. Ranjivost je bila prisutna u kodu oko 10 godina i značajna je jer je njeno otkrivanje zahtijevalo temeljitu analizu logike uslužnog programa.
Najbolja ranjivost servera: Ova nagrada je dodijeljena za identifikaciju i iskorištavanje tehnički najsloženije i najzanimljivije ranjivosti u mrežnoj usluzi. Pobjeda je dodijeljena za identifikaciju novog vektora napada protiv Microsoft Exchange-a . Informacije o svim ranjivostima ove vrste nisu objavljene, ali su već otkrivene informacije o CVE-2021-26855 (ProxyLogon), koja vam omogućava preuzimanje podataka od proizvoljnog korisnika bez autentifikacije, i CVE-2021-27065, koja vam omogućava izvršavanje vašeg koda na serveru s administratorskim privilegijama.
Najbolji kriptografski napad: Nagrađen za identifikaciju najznačajnijih nedostataka u sistemima, protokolima i algoritmima za šifriranje u stvarnom svijetu. Nagrada je dodijeljena Microsoftu zbog ranjivosti (CVE-2020-0601) u implementaciji digitalnih potpisa eliptične krivulje koja omogućava generiranje privatnih ključeva na osnovu javnih ključeva. Ova ranjivost omogućila je kreiranje krivotvorenih TLS certifikata za HTTPS i lažnih digitalnih potpisa, koje je Windows potvrdio kao pouzdane.
Najinovativnije istraživanje: Nagrada je dodijeljena istraživačima koji su predložili BlindSide metodu za zaobilaženje sigurnosti randomizacije adresa (ASLR) korištenjem curenja bočnih kanala koje proizlazi iz spekulativnog izvršavanja instrukcija procesora.
Nagrada Epic FAIL dodijeljena je Microsoftu za višestruko izdanje zakrpe koja nije uspjela popraviti ranjivost PrintNightmare (CVE-2021-34527) u Windows sistemu za ispis, što je omogućilo izvršavanje koda. Microsoft je u početku problem označio kao lokalni, ali se kasnije ispostavilo da se napad mogao izvesti daljinski. Microsoft je potom četiri puta objavljivao ažuriranja, ali svaki put je popravak adresirao samo određenu instancu, a istraživači su otkrili novi način za izvođenje napada.
Najbolja greška u klijentskom softveru : Ova nagrada dodijeljena je istraživaču koji je otkrio ranjivost CVE-2020-28341 u Samsungovoj sigurnosnoj kriptografiji i dobio sigurnosni certifikat CC EAL 5+. Ranjivost je omogućila potpuno zaobilaženje zaštite i pristup kodu koji se izvršava na čipu i podacima pohranjenim u enklavi, zaobilaženje zaključavanja čuvara ekrana, a također i izmjene firmvera kako bi se stvorio skriveni backdoor.
Najpotcijenjenija ranjivost : Nagrada je dodijeljena Qualysu za identifikaciju niza ranjivosti 21Nails u Exim mail serveru, od kojih se 10 može iskoristiti daljinski. Exim programeri bili su skeptični prema iskorištavanju problema i proveli su više od šest mjeseci razvijajući rješenja.
Najslabiji odgovor proizvođača: Ovo je nominacija za najneadekvatniji odgovor na izvještaj o ranjivosti u vlastitom proizvodu . Pobjednik je bio Cellebrite, forenzička i data mining aplikacija za provođenje zakona. Cellebrite nije uspio adekvatno odgovoriti na izvještaj o ranjivosti koji je objavio Moxie Marlinspike, autor Signal protokola. Moxie se zainteresirao za Cellebrite nakon što je objavio medijski izvještaj o stvaranju tehnologije za razbijanje šifriranih Signal poruka, koji se kasnije ispostavio lažnim, zbog pogrešnog tumačenja informacija u članku na Cellebriteovoj web stranici, koji je naknadno uklonjen („napad“ je zahtijevao fizički pristup telefonu i mogućnost otključavanja ekrana; odnosno, sve se svodilo na pregledavanje poruka u messengeru, ali ne ručno, već korištenjem posebne aplikacije koja simulira korisničke radnje).
Moxie je pregledao aplikacije Cellebrite i otkrio kritične ranjivosti koje su dozvoljavale izvršavanje proizvoljnog koda pri pokušaju skeniranja posebno izrađenih podataka. Aplikacija Cellebrite otkrila je i činjenicu da koristi zastarjelu ffmpeg biblioteku koja nije ažurirana 9 godina i sadrži veliki broj neispravljenih ranjivosti. Umjesto da prizna probleme i riješi ih, Cellebrite je objavio izjavu da brine o integritetu korisničkih podataka, čuva sigurnost svojih proizvoda na odgovarajućoj razini.
Konačno, najveće dostignuće: nagrada je dodijeljena Ilfaku Gilfanovu, autoru IDA disasemblera i Hex-Rays dekompilatora , za njegov doprinos razvoju alata za istraživače sigurnosti i njegovu sposobnost da proizvod održava ažuriranim 30 godina.
Izvor: https://pwnies.com