Es van donar a conèixer els guanyadors dels premis anuals Pwnie Awards 2021, el qual és un esdeveniment destacat, en què els participants donen a conèixer les vulnerabilitats més significatives i falles absurdes en el camp de la seguretat informà tica.
Els premis Pwnie reconeixen tant l'excel·lència com la incompetència al camp de la seguretat de la informació. Els guanyadors són seleccionats per un comitè de professionals de la indústria de la seguretat a partir de nominacions recopilades de la comunitat de seguretat de la informació.
Llista de guanyadors
Millor vulnerabilitat d'escalada de privilegis : aquest premi es va atorgar a l'empresa Qualys per identificar la vulnerabilitat CVE-2021-3156 a la utilitat sudo , que permet obtenir privilegis de root. La vulnerabilitat ha estat present al codi durant uns 10 anys i es destaca pel fet que la seva detecció va requerir una anà lisi exhaustiva de la lògica de la utilitat.
Millor error del servidor: aquest es va atorgar per identificar i explotar lerror tècnicament més complex i interessant en un servei de xarxa. La victòria es va atorgar per identificar un nou vector d'atacs contra Microsoft Exchange . No s'ha publicat informació sobre totes les vulnerabilitats d'aquesta classe, però ja s'ha divulgat informació sobre la vulnerabilitat CVE-2021-26855 (ProxyLogon), que us permet recuperar dades d'un usuari arbitrari sense autenticació, i CVE-2021-27065, que us permet executar el vostre codi en un servidor amb drets d'administrador.
Millor atac criptogrà fic: es va atorgar per identificar les falles més significatives en sistemes , protocols i algorismes de xifratge reals. El premi va ser lliurat a Microsoft per la vulnerabilitat (CVE-2020-0601) en la implementació de firmes digitals de corba el·lÃptica que permet la generació de claus privades basades en claus públiques. El problema va permetre la creació de certificats TLS falsificats per a HTTPS i firmes digitals falses, que Windows va verificar com a fiables.
Investigació més innovadora: El premi es va atorgar als investigadors que van proposar el mètode BlindSide per evitar la seguretat de l'aleatorització d'adreces (ASLR) utilitzant fuites de canal lateral que resulten de l'execució especulativa d'instruccions per part del processador.
La majoria d'errors d'Epic FAIL: atorgat a Microsoft per un llançament múltiple d'un pegat que no funciona per a la vulnerabilitat PrintNightmare (CVE-2021-34527) al sistema de sortida d'impressió de Windows que permet que se n'executi el codi. Microsoft inicialment va marcar el problema com a local, però després va resultar que l'atac podria dur-se a terme de manera remota. Després, Microsoft va publicar actualitzacions quatre vegades, però cada cop la solució només cobria un cas especial, i els investigadors van trobar una nova manera de dur a terme l'atac.
Millor error en programari client : aquest premi va ser atorgat a un investigador que va descobrir la vulnerabilitat CVE-2020-28341 a la criptografia segura de Samsung, va rebre el certificat de seguretat de CC EAL 5+. La vulnerabilitat va fer possible ometre per complet la protecció i obtenir accés al codi executat al xip i les dades emmagatzemades a l'enclavament, ometre el bloqueig del protector de pantalla i també realitzar canvis al microprogramari per crear una porta del darrere oculta.
La vulnerabilitat més subestimada : el premi va ser atorgat a Qualys per la identificació d'una sèrie de vulnerabilitats 21Nails al servidor de correu Exim, 10 de les quals poden explotar-se de forma remota. Els desenvolupadors d'Exim van mostrar-se escèptics sobre l'explotació dels problemes i van passar més de 6 mesos desenvolupant solucions.
La resposta més feble del fabricant: aquesta és una nominació per la resposta més inadequada a un informe de vulnerabilitat al seu propi producte . El guanyador va ser Cellebrite, una aplicació forense i de mineria de dades per a les forces de lordre. Cellebrite no va respondre adequadament a l'informe de vulnerabilitat publicat per Moxie Marlinspike, autor del protocol Signal. Moxie es va interessar a Cellebrite després de publicar una nota als mitjans sobre la creació d'una tecnologia per trencar els missatges de Signal encriptats, que després van resultar ser falsos, a causa d'una mala interpretació de la informació a l'article al lloc web de Cellebrite, que després va ser eliminat (l'atac requeria accés fÃsic al telèfon i la capacitat de desbloquejar missatger, però no manualment, sinó usant una aplicació especial que simula les accions de l'usuari).
Moxie va examinar les aplicacions de Cellebrite i va trobar vulnerabilitats crÃtiques que permetien l'execució de codi arbitrari a l'intentar escanejar dades especialment dissenyats. L'aplicació Cellebrite també va revelar el fet d'utilitzar una biblioteca ffmpeg desactualitzada que no s'ha actualitzat durant 9 anys i conté una gran quantitat de vulnerabilitats sense posar pegats. En lloc de reconèixer els problemes i solucionar-los, Cellebrite va emetre una declaració que es preocupa per la integritat de les dades de l'usuari, manté la seguretat dels seus productes en el nivell adequat.
Finalment l'assoliment més gran: va ser atorgat a Ilfak Gilfanov, autor del desassemblador IDA i descompilador Hex-Rays , per la seva contribució al desenvolupament d'eines per a investigadors de seguretat i la seva capacitat per mantenir el producte actualitzat durant 30 anys.
Font: https://pwnies.com