Iga-aastase Pwnie auhindade 2021 võitjad on välja kuulutatud. See on silmapaistev sündmus, kus osalejad paljastavad arvutiturbe valdkonna kõige olulisemaid haavatavusi ja absurdseid vigu.
Pwnie auhinnad tunnustavad nii tipptaset kui ka ebakompetentsust infoturbe valdkonnas. Võitjad valib välja turvatööstuse spetsialistidest koosnev komisjon infoturbekogukonnalt kogutud nominentide hulgast.
Võitjate nimekiri
Parim privileegide eskaleerimise haavatavus : see auhind anti Qualysile CVE-2021-3156 haavatavuse tuvastamise eest `sudo` utiliidis , mis võimaldab kasutajatel saada juurkasutaja õigused. Haavatavus oli koodis olemas umbes 10 aastat ja on tähelepanuväärne, kuna selle tuvastamine nõudis utiliidi loogika põhjalikku analüüsi.
Parim serveri haavatavus: See auhind anti võrguteenuse tehniliselt kõige keerukama ja huvitavama haavatavuse tuvastamise ja ärakasutamise eest . Võit anti Microsoft Exchange'i vastu suunatud uue rünnakuvektori tuvastamise eest . Teavet kõigi seda tüüpi haavatavuste kohta pole avaldatud, kuid teave on juba avaldatud CVE-2021-26855 (ProxyLogon) kohta, mis võimaldab teil autentimiseta suvaliselt kasutajalt andmeid hankida, ja CVE-2021-27065 kohta, mis võimaldab teil oma koodi serveris administraatoriõigustega käivitada.
Parim krüptograafiline rünnak: Auhind anti reaalsete krüpteerimissüsteemide, protokollide ja algoritmide kõige olulisemate puuduste tuvastamise eest . Auhind anti Microsoftile elliptilise kõveraga digitaalallkirjade rakendamise haavatavuse (CVE-2020-0601) eest , mis võimaldab avalike võtmete põhjal genereerida privaatvõtmeid. See viga võimaldas luua võltsitud TLS-sertifikaate HTTPS-i ja võltsitud digitaalallkirju, mille Windows usaldusväärseks pidas.
Kõige innovaatilisem uurimus: auhind anti teadlastele, kes pakkusid välja BlindSide'i meetodi aadresside randomiseerimise ohutuse (ASLR) vältimiseks, kasutades külgkanali lekkeid, mis tulenevad protsessori spekulatiivsest käskude täitmisest.
Epic FAIL auhind anti Microsoftile mitmekordselt välja antud paranduse eest, mis ei suutnud parandada Windowsi prindiväljundi süsteemis olevat PrintNightmare'i haavatavust (CVE-2021-34527), mis võimaldas koodi käivitamist. Microsoft märkis probleemi algselt kohalikuks, kuid hiljem selgus, et rünnakut saab läbi viia eemalt. Seejärel avaldas Microsoft neli värskendust, kuid iga kord käsitles parandus ainult konkreetset juhtumit ja teadlased avastasid rünnaku teostamiseks uue viisi.
Parim viga klienditarkvaras : see auhind anti teadlasele, kes avastas Samsungi turvalises krüptograafias haavatavuse CVE-2020-28341 ja sai CC EAL 5+ turvasertifikaadi. See haavatavus võimaldas kaitsest täielikult mööda hiilida ning pääseda ligi kiibil töötavale koodile ja enklaavis talletatud andmetele, mööda hiilida ekraanisäästja lukust ning teha püsivaras muudatusi, et luua peidetud tagauks.
Kõige alahinnatum haavatavus : auhind anti Qualysile mitmete 21Nailsi haavatavuste tuvastamise eest Eximi meiliserveris, millest 10 saab kaugjuhtimise teel ära kasutada. Eximi arendajad suhtusid nende probleemide ärakasutamisse skeptiliselt ja kulutasid paranduste väljatöötamisele üle kuue kuu.
Tootja nõrgim vastus: See on nominatsioon kõige ebapiisavama reageeringu eest oma toote haavatavusaruandele . Võitjaks osutus Cellebrite, mis on õiguskaitseorganitele mõeldud kohtuekspertiisi ja andmekaeve rakendus. Cellebrite ei suutnud Signal-protokolli autori Moxie Marlinspike'i avaldatud haavatavusaruandele piisavalt reageerida. Moxie hakkas Cellebrite'i vastu huvi tundma pärast seda, kui avaldas meedias teate krüpteeritud Signal-sõnumite murdmiseks mõeldud tehnoloogia loomise kohta, mis hiljem osutus valeks Cellebrite'i veebisaidil oleva artikli teabe valesti tõlgendamise tõttu, mis seejärel eemaldati ("rünnak" nõudis füüsilist juurdepääsu telefonile ja ekraani avamise võimalust; see tähendab, et see taandus sõnumite vaatamisele Messengeris, kuid mitte käsitsi, vaid spetsiaalse rakenduse abil, mis simuleerib kasutaja toiminguid).
Moxie uuris Cellebrite'i rakendusi ja leidis kriitilisi haavatavusi, mis võimaldasid suvalise koodi käivitamist spetsiaalselt loodud andmete skannimisel. Rakendus Cellebrite paljastas ka vananenud ffmpeg raamatukogu, mida pole 9 aastat uuendatud ja mis sisaldab suurt hulka parandamata haavatavusi. Selle asemel, et probleeme tunnistada ja neid parandada, avaldas Cellebrite avalduse, et hoolib kasutajaandmete terviklikkusest, hoiab oma toodete turvalisuse õigel tasemel.
Lõpuks suurim saavutus: see omistati IDA lahtipakkimise ja Hex-Rays dekompileerimise autorile Ilfak Gilfanovile tema panuse eest turvauurijatele mõeldud tööriistade väljatöötamisse ja võime eest toodet 30 aastat ajakohasena hoida.
Allikas: https://pwnies.com