Les lauréats des Pwnie Awards 2021 ont été annoncés. Cet événement prestigieux met en lumière les vulnérabilités les plus importantes et les failles les plus absurdes dans le domaine de la sécurité informatique.
Les prix Pwnie récompensent aussi bien l'excellence que l'incompétence dans le domaine de la sécurité de l'information. Les lauréats sont sélectionnés par un comité de professionnels du secteur parmi les candidatures reçues de la communauté de la sécurité de l'information.
Liste des gagnants
Meilleure vulnérabilité d'élévation de privilèges : Ce prix a été décerné à Qualys pour l'identification de la vulnérabilité CVE-2021-3156 dans l'utilitaire `sudo` , permettant à un utilisateur d'obtenir les privilèges root. Cette vulnérabilité était présente dans le code depuis une dizaine d'années et sa détection a nécessité une analyse approfondie de la logique de l'utilitaire.
Meilleure vulnérabilité serveur : ce prix récompense l’identification et l’exploitation de la vulnérabilité la plus complexe et intéressante sur le plan technique dans un service réseau. Il a été décerné pour l’identification d’un nouveau vecteur d’attaque contre Microsoft Exchange . Les informations concernant toutes les vulnérabilités de ce type n’ont pas été publiées, mais des informations ont déjà été divulguées sur CVE-2021-26855 (ProxyLogon), qui permet de récupérer des données d’un utilisateur quelconque sans authentification, et sur CVE-2021-27065, qui permet d’exécuter du code sur un serveur avec des privilèges d’administrateur.
Meilleure attaque cryptographique : Ce prix récompense l’identification des failles les plus importantes dans les systèmes, protocoles et algorithmes de chiffrement utilisés dans le monde réel. Il a été décerné à Microsoft pour la vulnérabilité (CVE-2020-0601) dans l’implémentation des signatures numériques à courbe elliptique, permettant la génération de clés privées à partir de clés publiques. Cette faille a permis la création de certificats TLS falsifiés pour HTTPS et de fausses signatures numériques, que Windows a validées comme fiables.
Recherche la plus innovante : Le prix a été décerné aux chercheurs qui ont proposé la méthode BlindSide pour contourner la sécurité de randomisation d'adresse (ASLR) en utilisant des fuites de canaux auxiliaires résultant de l'exécution spéculative d'instructions par le processeur.
Le prix de l'échec le plus retentissant a été décerné à Microsoft pour un correctif déployé en plusieurs versions qui n'a pas permis de corriger la vulnérabilité PrintNightmare (CVE-2021-34527) du système d'impression Windows, permettant l'exécution de code. Microsoft avait initialement signalé le problème comme étant local, mais il est apparu par la suite que l'attaque pouvait être menée à distance. Microsoft a alors publié quatre mises à jour, mais à chaque fois, le correctif ne résolvait qu'un cas spécifique, et les chercheurs ont découvert une nouvelle méthode d'exploitation de la vulnérabilité.
Meilleure faille dans un logiciel client : Ce prix a été décerné à un chercheur ayant découvert la vulnérabilité CVE-2020-28341 dans le système de chiffrement sécurisé de Samsung et obtenu la certification de sécurité CC EAL 5+. Cette vulnérabilité permettait de contourner totalement la protection et d'accéder au code exécuté sur la puce et aux données stockées dans l'enclave, de désactiver le verrouillage de l'écran de veille et de modifier le firmware afin de créer une porte dérobée cachée.
La vulnérabilité la plus sous-estimée : Qualys a reçu ce prix pour avoir identifié plusieurs failles 21Nails dans le serveur de messagerie Exim, dont dix sont exploitables à distance. Les développeurs d’Exim, sceptiques quant à l’exploitation de ces failles, ont consacré plus de six mois à l’élaboration de correctifs.
Réponse la plus faible d'un fabricant : Cette nomination récompense la réponse la plus inadéquate à un rapport de vulnérabilité concernant son propre produit . Le lauréat est Cellebrite, une application d'analyse forensique et d'exploration de données destinée aux forces de l'ordre. Cellebrite n'a pas su répondre de manière satisfaisante au rapport de vulnérabilité publié par Moxie Marlinspike, l'auteur du protocole Signal. Moxie s'est intéressé à Cellebrite après la publication d'un article de presse concernant la création d'une technologie permettant de décrypter les messages Signal chiffrés. Cet article s'est avéré faux, suite à une mauvaise interprétation des informations contenues sur le site web de Cellebrite, article qui a depuis été retiré. (L'« attaque » nécessitait un accès physique au téléphone et la possibilité de déverrouiller l'écran ; en réalité, il s'agissait de consulter les messages dans l'application de messagerie, non pas manuellement, mais à l'aide d'une application spéciale simulant les actions de l'utilisateur.)
Moxie a examiné les applications Cellebrite et trouvé des vulnérabilités critiques qui permettaient l'exécution de code arbitraire lors d'une tentative d'analyse de données spécialement conçues. L'application Cellebrite a également révélé qu'elle utilise une bibliothèque ffmpeg obsolète qui n'a pas été mise à jour depuis 9 ans et contient un grand nombre de vulnérabilités non corrigées. Plutôt que de reconnaître les problèmes et de les résoudre, Cellebrite a publié une déclaration selon laquelle elle se soucie de l'intégrité des données des utilisateurs et maintient la sécurité de ses produits au niveau approprié.
Enfin, la plus grande distinction : elle a été décernée à Ilfak Gilfanov, auteur du désassembleur IDA et du décompilateur Hex-Rays , pour sa contribution au développement d’outils destinés aux chercheurs en sécurité et sa capacité à maintenir le produit à jour pendant 30 ans.
Source : https://pwnies.com