Byli vyhlášeni vítězové každoročních cen Pwnie Awards 2021. Jedná se o významnou akci, jejíž účastníci odhalují nejvýznamnější zranitelnosti a absurdní nedostatky v oblasti počítačové bezpečnosti.
Ceny Pwnie oceňují jak excelenci, tak i nekompetentnost v oblasti informační bezpečnosti. Vítěze vybírá komise složená z profesionálů v oblasti bezpečnosti z nominací shromážděných od komunity informační bezpečnosti.
Seznam vítězů
Nejlepší zranitelnost eskalace oprávnění : Toto ocenění bylo uděleno společnosti Qualys za identifikaci zranitelnosti CVE-2021-3156 v utilitě `sudo` , která uživatelům umožňuje získat root oprávnění. Zranitelnost byla v kódu přítomna přibližně 10 let a je pozoruhodná, protože její detekce vyžadovala důkladnou analýzu logiky utility.
Nejlepší zranitelnost serveru: Toto ocenění bylo uděleno za identifikaci a zneužití technicky nejsložitější a nejzajímavější zranitelnosti v síťové službě. Vítězství bylo uděleno za identifikaci nového vektoru útoku proti Microsoft Exchange . Informace o všech zranitelnostech tohoto typu nebyly zveřejněny, ale již byly zveřejněny informace o CVE-2021-26855 (ProxyLogon), která umožňuje načíst data od libovolného uživatele bez ověření, a CVE-2021-27065, která umožňuje spustit kód na serveru s oprávněními správce.
Nejlepší kryptografický útok: Oceněno za identifikaci nejvýznamnějších nedostatků v reálných šifrovacích systémech, protokolech a algoritmech. Cena byla udělena společnosti Microsoft za zranitelnost (CVE-2020-0601) v implementaci digitálních podpisů s eliptickými křivkami, která umožňuje generování soukromých klíčů na základě veřejných klíčů. Tato chyba umožnila vytváření padělaných certifikátů TLS pro HTTPS a falešných digitálních podpisů, které systém Windows ověřil jako důvěryhodné.
Nejinovativnější výzkum: Cena byla udělena výzkumníkům, kteří navrhli metodu BlindSide pro obcházení ochrany před randomizací adres (ASLR) pomocí úniků postranních kanálů, které vznikají v důsledku spekulativního provádění instrukcí procesoru.
Ocenění Epic FAIL bylo uděleno společnosti Microsoft za vícenásobnou záplatu, která nedokázala opravit zranitelnost PrintNightmare (CVE-2021-34527) v systému tiskového výstupu systému Windows, což umožňovalo spuštění kódu. Microsoft nejprve označil problém jako lokální, ale později se ukázalo, že útok mohl být proveden vzdáleně. Microsoft poté vydal aktualizace čtyřikrát, ale pokaždé oprava řešila pouze konkrétní instanci a vědci objevili nový způsob, jak útok provést.
Nejlepší chyba v klientském softwaru : Toto ocenění bylo uděleno výzkumníkovi, který objevil zranitelnost CVE-2020-28341 v zabezpečené kryptografii společnosti Samsung a získal bezpečnostní certifikaci CC EAL 5+. Zranitelnost umožnila kompletně obejít ochranu a získat přístup ke kódu běžícímu na čipu a datům uloženým v enklávě, obejít zámek spořiče obrazovky a také provést změny ve firmwaru a vytvořit tak skrytá zadní vrátka.
Nejvíce podceňovaná zranitelnost : Cena byla udělena společnosti Qualys za identifikaci řady zranitelností 21Nails v poštovním serveru Exim, z nichž 10 lze zneužít vzdáleně. Vývojáři Eximu byli skeptičtí ohledně zneužití těchto chyb a strávili více než šest měsíců vývojem oprav.
Nejslabší reakce výrobce: Toto je nominace za nejméně odpovídající reakci na hlášení o zranitelnosti ve vlastním produktu . Vítězem se stala Cellebrite, forenzní a datová dolovací aplikace pro orgány činné v trestním řízení. Cellebrite nedokázal adekvátně reagovat na hlášení o zranitelnosti zveřejněné Moxiem Marlinspikem, autorem protokolu Signal. Moxie se o Cellebrite začala zajímat po zveřejnění mediální zprávy o vytvoření technologie pro prolomení šifrovaných zpráv Signal, která se později ukázala jako nepravdivá, a to kvůli chybné interpretaci informací v článku na webových stránkách Cellebrite, který byl následně odstraněn („útok“ vyžadoval fyzický přístup k telefonu a možnost odemknutí obrazovky; to znamená, že se omezil na prohlížení zpráv v messengeru, ale ne manuálně, spíše pomocí speciální aplikace, která simuluje akce uživatele).
Moxie prozkoumala aplikace Cellebrite a zjistila kritické zranitelnosti, které umožňovaly spuštění libovolného kódu při pokusu o skenování speciálně vytvořených dat. Aplikace Cellebrite také odhalila použití zastaralé knihovny ffmpeg, která nebyla 9 let aktualizována a obsahuje velké množství nepatchovaných zranitelností. Společnost Cellebrite místo toho, aby problémy uznávala a opravovala, vydala prohlášení, že dbá na integritu uživatelských dat a udržuje bezpečnost svých produktů na správné úrovni.
A konečně největší úspěch: byl udělen Ilfaku Gilfanovovi, autorovi disasembleru IDA a dekompilátoru Hex-Rays , za jeho přínos k vývoji nástrojů pro bezpečnostní výzkumníky a za jeho schopnost udržovat produkt aktualizovaný po dobu 30 let.
Zdroj: https://pwnies.com