Para pemenang Pwnie Awards 2021 tahunan telah diumumkan. Ini adalah acara bergengsi di mana para peserta mengungkapkan kerentanan paling signifikan dan kekurangan yang absurd di bidang keamanan komputer.
Penghargaan Pwnie mengakui baik keunggulan maupun ketidakmampuan di bidang keamanan informasi. Pemenang dipilih oleh komite yang terdiri dari para profesional industri keamanan dari nominasi yang dikumpulkan dari komunitas keamanan informasi.
Daftar pemenang
Penghargaan Kerentanan Peningkatan Hak Akses Terbaik : Penghargaan ini diberikan kepada Qualys karena mengidentifikasi kerentanan CVE-2021-3156 pada utilitas `sudo` , yang memungkinkan pengguna untuk mendapatkan hak akses root. Kerentanan ini telah ada dalam kode selama sekitar 10 tahun dan patut diperhatikan karena deteksinya membutuhkan analisis menyeluruh terhadap logika utilitas tersebut.
Kerentanan Server Terbaik: Penghargaan ini diberikan untuk mengidentifikasi dan mengeksploitasi kerentanan yang paling kompleks dan menarik secara teknis dalam layanan jaringan. Kemenangan ini diraih karena mengidentifikasi vektor serangan baru terhadap Microsoft Exchange . Informasi tentang semua kerentanan jenis ini belum dipublikasikan, tetapi informasi telah diungkapkan tentang CVE-2021-26855 (ProxyLogon), yang memungkinkan Anda untuk mengambil data dari pengguna mana pun tanpa otentikasi, dan CVE-2021-27065, yang memungkinkan Anda untuk menjalankan kode Anda di server dengan hak akses administrator.
Serangan Kriptografi Terbaik: Penghargaan diberikan atas identifikasi kelemahan paling signifikan dalam sistem, protokol, dan algoritma enkripsi dunia nyata. Penghargaan ini diberikan kepada Microsoft atas kerentanan (CVE-2020-0601) dalam implementasi tanda tangan digital kurva eliptik yang memungkinkan pembuatan kunci privat berdasarkan kunci publik. Kelemahan ini memungkinkan pembuatan sertifikat TLS palsu untuk HTTPS dan tanda tangan digital palsu, yang diverifikasi oleh Windows sebagai tepercaya.
Penelitian paling inovatif: Penghargaan diberikan kepada para peneliti yang mengusulkan metode BlindSide untuk mengakali Keamanan Pengacakan Alamat (ASLR) menggunakan kebocoran saluran samping yang dihasilkan dari eksekusi instruksi spekulatif prosesor.
Penghargaan Epic FAIL diberikan kepada Microsoft atas beberapa rilis patch yang gagal memperbaiki kerentanan PrintNightmare (CVE-2021-34527) pada sistem output cetak Windows, yang memungkinkan eksekusi kode. Microsoft awalnya menandai masalah ini sebagai masalah lokal, tetapi kemudian terungkap bahwa serangan tersebut dapat dilakukan dari jarak jauh. Microsoft kemudian merilis pembaruan sebanyak empat kali, tetapi setiap kali perbaikan hanya mengatasi kasus tertentu, dan para peneliti menemukan cara baru untuk melakukan serangan tersebut.
Bug terbaik dalam perangkat lunak klien : Penghargaan ini diberikan kepada seorang peneliti yang menemukan kerentanan CVE-2020-28341 dalam kriptografi aman Samsung dan menerima sertifikasi keamanan CC EAL 5+. Kerentanan tersebut memungkinkan untuk sepenuhnya melewati perlindungan dan mendapatkan akses ke kode yang berjalan pada chip dan data yang tersimpan di enklave, melewati kunci screen saver, dan juga melakukan perubahan pada firmware untuk membuat backdoor tersembunyi.
Kerentanan yang paling diremehkan : Penghargaan diberikan kepada Qualys karena mengidentifikasi sejumlah kerentanan 21Nails di server email Exim, 10 di antaranya dapat dieksploitasi dari jarak jauh. Para pengembang Exim skeptis tentang mengeksploitasi masalah tersebut dan menghabiskan lebih dari enam bulan untuk mengembangkan perbaikan.
Respons produsen terlemah: Ini adalah nominasi untuk respons paling tidak memadai terhadap laporan kerentanan pada produk mereka sendiri . Pemenangnya adalah Cellebrite, sebuah aplikasi forensik dan penambangan data untuk penegak hukum. Cellebrite gagal memberikan respons yang memadai terhadap laporan kerentanan yang diterbitkan oleh Moxie Marlinspike, penulis protokol Signal. Moxie tertarik pada Cellebrite setelah menerbitkan laporan media tentang pembuatan teknologi untuk memecahkan pesan Signal yang terenkripsi, yang kemudian ternyata salah, karena salah tafsir informasi dalam artikel di situs web Cellebrite, yang kemudian dihapus ("serangan" tersebut memerlukan akses fisik ke telepon dan kemampuan untuk membuka kunci layar; artinya, hal itu bermuara pada melihat pesan di messenger, tetapi bukan secara manual, melainkan menggunakan aplikasi khusus yang mensimulasikan tindakan pengguna).
Moxie memeriksa aplikasi Cellebrite dan menemukan kerentanan kritis yang memungkinkan kode arbitrer dieksekusi ketika mencoba memindai data yang dibuat secara khusus. Aplikasi Cellebrite juga mengungkapkan menggunakan perpustakaan ffmpeg usang yang belum diperbarui selama 9 tahun dan berisi sejumlah besar kerentanan yang belum ditambal. Alih-alih mengakui masalah dan memperbaikinya, Cellebrite mengeluarkan pernyataan bahwa mereka peduli dengan integritas data pengguna, menjaga keamanan produknya pada tingkat yang tepat.
Terakhir, penghargaan tertinggi: diberikan kepada Ilfak Gilfanov, penulis disassembler IDA dan decompiler Hex-Rays , atas kontribusinya dalam pengembangan perangkat untuk peneliti keamanan dan kemampuannya untuk terus memperbarui produk tersebut selama 30 tahun.
Sumber: https://pwnies.com