Kihirdették a 2021-es Pwnie Awards díjátadó nyerteseit. Ez egy kiemelkedő esemény, ahol a résztvevők a számítógépes biztonság területének legjelentősebb sebezhetőségeit és abszurd hibáit tárják fel.
A Pwnie-díjak az információbiztonság területén elért kiválóságot és alkalmatlanságot egyaránt elismerik. A nyerteseket egy biztonsági iparági szakemberekből álló bizottság választja ki az információbiztonsági közösségtől gyűjtött jelölések alapján.
A nyertesek listája
Legjobb jogosultság-eszkalációs sebezhetőség : Ezt a díjat a Qualys kapta a CVE-2021-3156 sebezhetőség azonosításáért a `sudo` segédprogramban , amely lehetővé teszi a felhasználók számára root jogosultságok megszerzését. A sebezhetőség körülbelül 10 éve jelen volt a kódban, és azért figyelemre méltó, mert észlelése a segédprogram logikájának alapos elemzését igényelte.
Legjobb szerver sebezhetőség: Ezt a díjat egy hálózati szolgáltatás technikailag legösszetettebb és legérdekesebb sebezhetőségének azonosításáért és kihasználásáért ítélték oda . A győzelmet a Microsoft Exchange elleni új támadási vektor azonosításáért ítélték oda . Az összes ilyen típusú sebezhetőségről még nem tették közzé információkat, de a CVE-2021-26855 (ProxyLogon) sebezhetőségről, amely lehetővé teszi adatok lekérését tetszőleges felhasználótól hitelesítés nélkül, valamint a CVE-2021-27065 sebezhetőségről, amely lehetővé teszi kód futtatását egy szerveren rendszergazdai jogosultságokkal, már nyilvánosságra kerültek információk.
Legjobb kriptográfiai támadás: A valós titkosítási rendszerek, protokollok és algoritmusok legjelentősebb hibáinak azonosításáért ítélték oda . A díjat a Microsoft kapta az ellipszis görbével rendelkező digitális aláírások megvalósításában található sebezhetőségért (CVE-2020-0601), amely lehetővé teszi a nyilvános kulcsok alapján privát kulcsok generálását. Ez a hiba lehetővé tette hamisított TLS-tanúsítványok létrehozását HTTPS-hez és hamis digitális aláírásokhoz, amelyeket a Windows megbízhatónak ítélt.
Leginnovatívabb kutatás: A díjat azok a kutatók kapták, akik a BlindSide módszert javasolták az Address Randomization Safety (ASLR) megkerülésére a processzor spekulatív utasításvégrehajtásából eredő oldalcsatorna-szivárgások felhasználásával.
Az Epic FAIL díjat a Microsoft kapta egy több kiadásban megjelent javításért, amely nem javította ki a PrintNightmare sebezhetőséget (CVE-2021-34527) a Windows nyomtatási kimeneti rendszerében, amely lehetővé tette a kódfuttatást. A Microsoft kezdetben helyi problémaként jelölte meg a problémát, de később kiderült, hogy a támadás távolról is végrehajtható. A Microsoft ezután négyszer adott ki frissítéseket, de minden alkalommal a javítás csak egy adott esetet célzott meg, és a kutatók új módszert fedeztek fel a támadás végrehajtására.
Legjobb hiba a kliensszoftverben : Ezt a díjat egy kutató kapta, aki felfedezte a CVE-2020-28341 sebezhetőséget a Samsung biztonságos titkosításában, és megkapta a CC EAL 5+ biztonsági tanúsítványt. A sebezhetőség lehetővé tette a védelem teljes megkerülését, valamint a chipen futó kódhoz és az enklávéban tárolt adatokhoz való hozzáférést, a képernyővédő zárolásának megkerülését, valamint a firmware módosítását egy rejtett hátsó ajtó létrehozásához.
A leginkább alábecsült sebezhetőség : A díjat a Qualys kapta, amiért számos 21Nails sebezhetőséget azonosított az Exim levelezőszerveren, amelyek közül 10 távolról is kihasználható. Az Exim fejlesztői szkeptikusak voltak a problémák kihasználásával kapcsolatban, és több mint hat hónapot töltöttek a javítások kidolgozásával.
A leggyengébb gyártói válasz: Ez egy jelölés a saját termékükben található sebezhetőségi jelentésre adott legnem megfelelő válaszért . A nyertes a Cellebrite lett, egy bűnüldöző szervek számára készült forenzikus és adatbányászati alkalmazás. A Cellebrite nem reagált megfelelően a Moxie Marlinspike, a Signal protokoll szerzője által közzétett sebezhetőségi jelentésre. A Moxie akkor kezdett érdeklődni a Cellebrite iránt, miután médiában megjelent egy cikk egy titkosított Signal üzenetek feltörésére szolgáló technológia létrehozásáról, amely később hamisnak bizonyult a Cellebrite weboldalán található cikk információinak félreértelmezése miatt, amelyet később eltávolítottak (a "támadáshoz" fizikai hozzáférésre volt szükség a telefonhoz és a képernyő feloldásának lehetőségére; vagyis az üzenetek megtekintésére korlátozódott a Messengerben, de nem manuálisan, hanem egy speciális alkalmazás használatával, amely szimulálja a felhasználói műveleteket).
Moxie megvizsgálta a Cellebrite alkalmazásokat, és olyan kritikus biztonsági réseket talált, amelyek tetszőleges kód végrehajtását tették lehetővé, amikor speciálisan kialakított adatokat próbáltak beolvasni. A Cellebrite alkalmazás felfedte azt a tényt is, hogy elavult ffmpeg könyvtárat használ, amelyet 9 éve nem frissítettek, és nagyszámú javítás nélküli biztonsági rést tartalmaz. Ahelyett, hogy elismerné a problémákat és kijavítaná őket, a Cellebrite közleményt adott ki, miszerint törődik a felhasználói adatok integritásával, termékei biztonságát a megfelelő szinten tartja.
Végül a legnagyobb elismerés: Ilfak Gilfanov, az IDA disassembler és a Hex-Rays decompiler szerzője kapta a biztonsági kutatóknak szánt eszközök fejlesztéséhez való hozzájárulásáért és a termék 30 éven át tartó naprakészen tartásának képességéért.
Forrás: https://pwnies.com